Jonas Klempel 发现，当解析客户端证书 的AIA-Extension 字段时，Apache Tomcat Native 未正确处理长度超过 127 个字节的字段。解析错误导致略过 OCSP 检查。因此可能接受应该已经遭到拒绝的客户端凭证（如果已经进行 OCSP 检查）。未使用 OCSP 检查的用户不会受到此漏洞的影响。对于 Debian 7“Wheezy”，这些问题已在 1.1.24-1+deb7u1 版本中修复。建议您升级 tomcat-native 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

检测

Debian DLA-1276-1：tomcat-native 安全更新

medium Nessus 插件 ID 106724

版本 3.8