Apache Tomcat 7.0.0 < 7.0.30 多个漏洞

medium Nessus 插件 ID 62988

语言：

简介

远程 Apache Tomcat 服务器受到多个漏洞的影响

描述

远程主机上安装的 Tomcat 版本低于 7.0.30。因此，它受到 fixed_in_apache_tomcat_7.0.30_security-7 公告中提及的多个漏洞影响。

- 6.0.37 之前的 Apache Tomcat 6.x 版本以及 7.0.30 之前的 7.x 版本未正确处理分块传输编码中的区块扩展，这允许远程攻击者通过流式数据造成拒绝服务。
(CVE-2012-3544)

- 拒绝原因：请勿使用此候选编号。ConsultIDs：CVE-2012-5885、CVE-2012-5886、CVE-2012-5887。原因：此候选版本是 CVE-2012-5885、CVE-2012-5886 和 CVE-2012-5887 的副本。
注意：所有 CVE 用户都应该单独或全部参照 CVE-2012-5885、CVE-2012-5886 和 CVE-2012-5887 而非此候选版本。为防止意外使用，本候选中的所有引用和描述都已被删除。(CVE-2012-3439)

- 在 6.x 至 6.0.36 和 7.x 至 7.0.30 版本的 Apache Tomcat 中，org/apache/catalina/realm/RealmBase.java 在使用 FORM 认证时，允许远程攻击者通过利用之前的 setUserPrincipal 调用并随后将 /j_security_check 放在 URI 末尾，从而绕过安全限制检查。(CVE-2012-3546)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。