远程主机上安装的 Apache Tomcat 版本为低于 9.0.5 的 9.0.x。因此，它受到安全限制缺陷的影响，该缺陷可导致资源暴露给未经授权的用户。); # http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.5script_set_attribute(attribute:see_also, value:http://www.nessus.org/u?909ff130

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，完全映射至环境 root 的（空字符串）的 URL 模式用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问应该受到保护的 Web 应用程序资源。只有具有空字符串 URL 模式的安全限制会受到影响。(CVE-2018-1304)

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，由 Servlet 注释定义的安全限制仅在 Servlet 加载后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此有些安全限制可能没有应用（视 Servlet 的加载顺序而定）。
    这可能导致资源泄漏给没有访问权限的用户。(CVE-2018-1305)

检测

Apache Tomcat 9.0.0.M1 < 9.0.5 不安全 CGI Servlet 搜索算法描述弱点

medium Nessus 插件 ID 106978

版本 1.12

版本 1.11

版本 1.12 Mar 21, 2023, 7:30 PM Plugin metadata Plugin Feed: 202303211930
版本 1.11 Jan 5, 2023, 5:47 AM Regenerated based on advisory update Plugin Feed: 202301050547