远程主机上安装的 Tomcat 版本低于 9.0.72。因此，它会受到公告 fixed_in_apache_tomcat_9.0.72_security-9 advisory 中提及的漏洞的影响。

  - 将 RemoteIpFilter 用于通过 HTTP 从反向代理接收的请求（包含设置为 https 的 X-Forwarded-Proto 标头）时，由 Apache Tomcat 11.0.0-M1 至 11.0.0.-M2、10.1.0-M1 至 10.1.5、9.0.0-M1 至 9.0.71 以及 8.5.0 至 8.5.85 创建的会话 Cookie 不会包含 secure 属性。这可能导致用户代理通过不安全的通道传输会话 Cookie。(CVE-2023-28708)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Apache Tomcat 9.0.0.M1 < 9.0.72

medium Nessus 插件 ID 173251

版本 1.0