Apache Tomcat 9.0.92 < 9.0.96 多个漏洞

critical Nessus 插件 ID 211503

语言：

简介

远程 Apache Tomcat 服务器受到多个漏洞的影响

描述

远程主机上安装的 Tomcat 版本低于 9.0.96。因此，该软件受到 fixed_in_apache_tomcat_9.0.96_security-9 公告中提及的多个漏洞的影响。

- Apache Tomcat 中的错误对象重新回收和重新使用漏洞。HTTP/2 请求所使用的请求和响应不正确回收，可能导致用户之间混淆请求和/或响应。此问题影响以下 Apache Tomcat 版本： 11.0.0-M23 至 11.0.0-M26、 10.1.27 至 10.1.30、 9.0.92 至 9.0.95。建议用户升级至已修复该问题的版本 11.0.0、10.1.31 或 9.0.96。(CVE-2024-52317)

- Apache Tomcat 中的 Unchecked Error Condition 漏洞。如果 Tomcat 配置为使用自定义 Jakarta 身份验证（旧称 JASPIC）ServerAuthContext 组件，其可能会在未明确设置表示失败的 HTTP 状态的情况下于身份验证过程中返回异常，导致身份验证可能不会失败，从而允许用户绕过身份验证过程。任何已知 Jakarta 身份验证组件均不会以这种方式运行。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.0-M26、10.1.0-M1 至 10.1.30、9.0.0-M1 至 9.0.95。建议用户升级到已修复此问题的版本 11.0.0、 10.1.31 或 9.0.96。(CVE-2024-52316)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。