Apache Tomcat 中提供的 CORS 筛选器默认设置是不安全的，并为所有源启用'supportsCredentials'。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大多数用户不会受到此问题影响。(CVE-2018-8014) 在具有增补字符的 UTF-8 解码器中错误处理溢出，可导致解析器无限循环，从而导致拒绝服务。受影响的版本：Apache Tomcat 8.5.0 至 8.5.30。(CVE-2018-1336) 当使用有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。受影响的版本：Apache Tomcat 8.5.0 至 8.5.31。(CVE-2018-8034) 连接闭包追踪缺陷可导致在新连接中重用用户会话。受影响的版本：Apache Tomcat 8.5.5 至 8.5.31。(CVE-2018-8037)

检测

Amazon Linux AMI : tomcat8 (ALAS-2018-1056)

critical Nessus 插件 ID 111611

未找到变更日志