远程 Ubuntu 18.04 LTS/20.04 LTS 主机上安装的程序包受到 USN-5360-1 公告中提及的多个漏洞的影响。

  - 当使用 Apache Tomcat 版本 10.0.0-M1 到 10.0.0-M4、 9.0.0.M1 到 9.0.34、8.5.0 到 8.5.54 以及 7.0.0 到 7.0.103 时，如果出现以下情况：a) 攻击者能够控制服务器上文件的内容和名称；b) 服务器配置为将 PersistenceManager 与 FileStore 一起使用；c) 为 PersistenceManager 配置了 sessionAttributeValueClassNameFilter=null（未使用 SecurityManager 时，此为默认值）或者不太严格的过滤器，允许对攻击者提供的对象进行反序列化；d) 攻击者知道从 FileStore 使用的存储位置到其控制的文件的相对文件路径，则在使用特别构建的请求的情况下，该攻击者将能够通过反序列化其控制的文件来触发远程代码执行。请注意，从 a) 到 d) 的所有条件都必须为真，攻击才能成功。(CVE-2020-9484)

  - Apache Traffic Server 6.0.0 到 6.2.3、7.0.0 到 7.1.10 以及 8.0.0 到 8.0.7 版本容易受到某些类型的 HTTP/2 HEADERS 帧的影响，可导致服务器分配大量内存并旋转线程。(CVE-2020-9494)

  - 如果连接到 Apache Tomcat 10.0.0-M1 至 10.0.0-M7/9.0.0.M1 至 9.0.37/8.5.0 至 8.5.57 的 HTTP/2 客户端超出连接的并发流的最大约定数量（违反 HTTP/2 协议），则在该连接上发起的后续请求可能包含来自之前请求的 HTTP 标头（包括 HTTP/2 伪标头），而非预期标头。这可导致用户看到对非预期资源的响应。(CVE-2020-13943)

  - 在调查错误 64830 时，发现 Apache Tomcat 10.0.0-M1 到 10.0.0-M9、9.0.0-M1 到 9.0.39 以及 8.5.0 到 8.5.59 可将通过 HTTP/2 连接收到的之前流的 HTTP 请求标头值重复用于与后续流相关的请求。尽管这很可能会导致错误和 HTTP/2 连接关闭，也可能在两次请求之间泄漏信息。(CVE-2020-17527)

  - 在响应新的 h2c 连接请求时，Apache Tomcat 版本 10.0.0-M1 到 10.0.0、9.0.0.M1 到 9.0.41 和 8.5.0 到 8.5.61 可将请求标头和有限的请求正文从一个请求复制到另一个请求中，这意味着用户 A 和用户 B 都可以看到用户 A 的请求结果。
    (CVE-2021-25122)

  - 针对 CVE-2020-9484 的修复不完整。- 使用 Apache Tomcat 10.0.0-M1 到 10.0.0、9.0.0.M1 到 9.0.41、8.5.0 到 8.5.61 或 7.0.0. 到 7.0.107 处理极不可能遇到的配置边缘情况时，Tomcat 实例仍然容易受到 CVE-2020-9494 的影响。请注意，之前发布的 CVE-2020-9484 先决条件和之前发布的 CVE-2020-9484 缓解措施同样适用于此问题。(CVE-2021-25329)

  - Apache Tomcat JNDI Realm 中的漏洞允许攻击者使用有效用户名的变体进行认证和/或绕过 LockOut Realm 提供的某些保护。此问题影响 Apache Tomcat 10.0.0-M1 至 10.0.5；9.0.0.M1 至 9.0.45；8.5.0 至 8.5.65。(CVE-2021-30640)

  - Apache Tomcat 10.0.0-M1 至 10.0.6、9.0.0.M1 至 9.0.46 和 8.5.0 至 8.5.66 在某些情况下未正确解析 HTTP 传输编码请求标头，导致可能在与反向代理一起使用时触发请求走私攻击。特别地：- 如果客户端声明只接受 HTTP/1.0 响应，Tomcat 会错误地忽略传输编码标头；- Tomcat 遵从身份编码；
    以及 - Tomcat 未确保分块编码（如果存在）是最终编码。
    (CVE-2021-33037)

  - Apache Tomcat 8.5.0 到 8.5.63、9.0.0-M1 到 9.0.43 和 10.0.0-M1 到 10.0.2 未正确验证传入的 TLS 数据包。当 Tomcat 配置为对 TLS 使用 NIO+OpenSSL 或 NIO2+OpenSSL 时，可以使用特别构建的数据包来触发无限循环，从而导致拒绝服务。
    (CVE-2021-41079)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Ubuntu 18.04 LTS / 20.04 LTS：Tomcat 漏洞 (USN-5360-1)

high Nessus 插件 ID 159385

版本 1.5