远程主机上安装的 Tomcat 版本低于 8.5.16。因此，它受到 fixed_in_apache_tomcat_8.5.16_security-8 公告中提及的多个漏洞影响。

  - 在 9.0.0.M1 至 9.0.0.M21 和 8.5.0 至 8.5.15 版本的 Apache Tomcat 中，HTTP/2 实现绕过了大量可阻止目录遍历攻击的安全检查。因此，攻击者可以使用特别构建的 URL 绕过安全限制。(CVE-2017-7675)

  - 在 9.0.0.M1 至 9.0.0.M21、8.5.0 至 8.5.15、8.0.0.RC1 至 8.0.44、7.0.41 至 7.0.78 版本的 Apache Tomcat 中，CORS 筛选器未添加表示响应因 Origin 而异的 HTTP Vary 标头。在某些情况下，这允许客户端和服务器端缓存破坏。(CVE-2017-7674)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Apache Tomcat 8.5.0 < 8.5.16 多个漏洞

high Nessus 插件 ID 102589

版本 1.12