在 Tomcat servlet 和 JSP 引擎中发现两个安全漏洞。CVE-2018-1304 完全映射至环境 root 的“”（空白字符串）的 URL 模式在 Apache Tomcat 中用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问本应受到保护的 web 应用程序资源。只有具有空白字符串之 URL 模式的安全限制会受到影响。CVE-2018-1305 由 Apache Tomcat 中的 Servlet 注释定义的安全限制，仅在加载 Servlet 后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此可能会根据加载 Servlet 的顺序，而没有应用部分安全限制。此问题可能将资源泄露给未获访问权限的用户。对于 Debian 7“Wheezy”，这些问题已在 7.0.28-4+deb7u18 版本中修复。我们建议您升级 tomcat7 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

检测

Debian DLA-1301-1：tomcat7 安全更新

medium Nessus 插件 ID 107151

版本 1.11