因此，它受到 ALAS2023-2023-059 公告中提及的多个漏洞影响。

  - Apache Tomcat 10.0.0-M1 至 10.0.6、9.0.0.M1 至 9.0.46 和 8.5.0 至 8.5.66 在某些情况下未正确解析 HTTP 传输编码请求标头，导致可能在与反向代理一起使用时触发请求走私攻击。特别地：- 如果客户端声明只接受 HTTP/1.0 响应，Tomcat 会错误地忽略传输编码标头；- Tomcat 遵从身份编码；
    以及 - Tomcat 未确保分块编码（如果存在）是最终编码。
    (CVE-2021-33037)

  - 针对缺陷 CVE-2020-9484 的补丁在 Apache Tomcat 10.1.0-M1 至 10.1.0-M8 版、10.0.0-M5 至 10.0.14 版、 9.0.35 至 9.0.56 版和 8.5.55 至 8.5.73 版中引入了时间检查、时间使用漏洞，进而允许本地攻击者以 Tomcat 进程所使用的用户权限执行操作。仅当 Tomcat 配置为使用 FileStore 持久性会话时，才可恶意利用此问题。(CVE-2022-23181)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Amazon Linux 2023：tomcat9, tomcat9-admin-webapps, tomcat9-el-3.0-api (ALAS2023-2023-059)

high Nessus 插件 ID 173120

版本 1.0