Amazon Linux 2:tomcat (ALASTOMCAT8.5-2023-005)

critical Nessus 插件 ID 181988

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 tomcat 版本低于 8.5.79-1。因此,它会受到 ALAS2TOMCAT8.5-2023-005 公告中提及的多个漏洞影响。

- JDK 9+ 版本上运行的 Spring MVC 或 Spring WebFlux 应用程序可能在进行数据绑定时受到远程代码执行 (RCE) 漏洞的影响。若要利用此漏洞,需要应用程序作为 WAR 部署在 Tomcat 上运行。如果应用程序部署为 Spring Boot 可执行文件 jar(即默认设置),攻击者便无法轻易利用漏洞。但是,该漏洞较为普遍,可能存在其他利用方式。(CVE-2022-22965)

- EncryptInterceptor 的 Apache Tomcat 10.1.0-M1 至 10.1.0-M14、10.0.0-M1 至 10.0.20、 9.0.13 至 9.0.62 和 8.5.38 至 8.5.78 版本的文档错误地声明其启用了 Tomcat 群集以溢出不受信任的网络。此说法不正确。尽管 EncryptInterceptor 确实提供了机密性和完整性保护,但并不能防范与在任何不受信任的网络上运行相关的所有风险,尤其是 DoS 风险。 (CVE-2022-29885)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

运行 'yum update tomcat' 以更新系统。

另见

https://alas.aws.amazon.com/AL2/ALASTOMCAT8.5-2023-005.html

https://alas.aws.amazon.com/cve/html/CVE-2022-22965.html

https://alas.aws.amazon.com/cve/html/CVE-2022-29885.html

https://alas.aws.amazon.com/faqs.html

插件详情

严重性: Critical

ID: 181988

文件名: al2_ALASTOMCAT8_5-2023-005.nasl

版本: 1.2

类型: local

代理: unix

发布时间: 2023/9/27

最近更新时间: 2023/10/2

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Critical

分数: 9.8

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 6.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2022-22965

CVSS v3

风险因素: Critical

基本分数: 9.8

时间分数: 9.4

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:H/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:amazon:linux:tomcat, p-cpe:/a:amazon:linux:tomcat-admin-webapps, p-cpe:/a:amazon:linux:tomcat-docs-webapp, p-cpe:/a:amazon:linux:tomcat-el-3.0-api, p-cpe:/a:amazon:linux:tomcat-javadoc, p-cpe:/a:amazon:linux:tomcat-jsp-2.3-api, p-cpe:/a:amazon:linux:tomcat-jsvc, p-cpe:/a:amazon:linux:tomcat-lib, p-cpe:/a:amazon:linux:tomcat-servlet-3.1-api, p-cpe:/a:amazon:linux:tomcat-webapps, cpe:/o:amazon:linux:2

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可利用: true

易利用性: Exploits are available

补丁发布日期: 2023/8/21

漏洞发布日期: 2022/3/31

CISA 已知可遭利用的漏洞到期日期: 2022/4/25

可利用的方式

Core Impact

Metasploit (Spring Framework Class property RCE (Spring4Shell))

参考资料信息

CVE: CVE-2022-22965, CVE-2022-29885

IAVA: 2022-A-0222-S