MagicLinux 3 tomcat5-5.5.23-0jpp.7.2.1AXS3 (AXSA:2009-366:02)
medium Nessus 插件 ID 283896
语言：
简介
远程iraclelinux 主机缺少一个或多个安全更新。描述
远程iraclelinux 3 主机上存在安装的程序包该程序包受到 AXSA:2009-366:02 公告中提及的多个漏洞的影响。Tomcat 是用于正式的 Java Servlet 和 JavaServer Pages 技术引用实现中的 servlet 容器。Java Servlet 和 JavaServer Pages 规范由 Sun 在 Java Community Process 下制定。
Tomcat 在开放、参与性的环境中开发，并根据 Apache 软件许可证发布。Tomcat 的目标是成为全球最佳开发人员的协作平台。
我们邀请您参与此开放开发项目。
修复的缺陷：
CVE-2007-5333 Apache Tomcat 6.0.0 至 6.0.14、 5.5.0 至 5.5.25和 4.1.0 至 4.1.36 未正确处理 cookie 值中的 (1) 双引号 () 字符或 (2) %5C编码反斜线序列。可能造成敏感信息如会话 ID 泄露给远程攻击者并发动会话劫持攻击。注意：存在此问题的原因是对 CVE-2007-3385 的修复不完整。
CVE-2008-5515 Apache Tomcat 4.1.0 到 4.1.39、 5.5.0 到 5.5.27、 6.0.0 到 6.0.18和可能更早的版本使用 RequestDispatcher 方法时在过滤查询字符串之前规范目标路径名这允许远程攻击者绕过预期访问限制并通过 ..点点点序列和请求中的 WEB-INF 目录进行目录遍历攻击。
CVE-2009-0033 Apache Tomcat 4.1.0 到 4.1.39、 5.5.0 到 5.5.27和 6.0.0 到 6.0.18在使用 Java AJP 连接器和 mod_jk 负载平衡时可允许远程攻击者通过包含无效标头的构建请求与遇到错误的连接器的临时阻断有关涉及畸形 HTTP 主机标头的错误即为一例。
CVE-2009-0580 Apache Tomcat 4.1.0 到 4.1.39、 5.5.0 到 5.5.27和 6.0.0 到 6.0.18使用 FORM 认证时允许远程攻击者通过包含畸形 URL 密码编码的 /j_security_check 请求枚举有效的用户名这与(1) MemoryRealm、(2) DataSourceRealm 和 (3) JDBCRealm 认证领域中不正确的错误检查j_password 参数的 %百分比值即为一例。
CVE-2009-0781 Apache Tomcat 中示例 Web 应用程序中的日历应用程序的 jsp/cal/cal2.jsp 存在跨站脚本 (XSS) 漏洞 4.1.0 到 4.1.39、 5.5.0 到 5.5.27和 6.0.0 到 6.0.18 允许远程攻击攻击者通过与无效 HTML 有关的时间参数注入任意 Web 脚本或 HTML。
CVE-2009-0783 Apache Tomcat 4.1.0 到 4.1.39、 5.5.0 到 5.5.27和 6.0.0 到 6.0.18 允许 Web 应用程序替换用于其他 Web 应用程序的 XML 解析器这样允许本地用户读取或修改 (1) web.xml 文件通过比目标应用程序更早加载的构建应用程序攻击任意 Web 应用程序的 xml、(2) context.xml 或 (3) tld 文件。
Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
插件详情
严重性: Medium
ID: 283896
文件名: miracle_linux_AXSA-2009-366.nasl
版本: 1.1
类型: local
发布时间: 2026/1/14
最近更新时间: 2026/1/14
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.2
Vendor
Vendor Severity: High
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 4.1
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 分数来源: CVE-2008-5515
CVSS v3
风险因素: Medium
基本分数: 4.2
时间分数: 3.9
矢量: CVSS:3.0/AV:L/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L
时间矢量: CVSS:3.0/E:F/RL:O/RC:C
CVSS 分数来源: CVE-2009-0783
漏洞信息
CPE: p-cpe:/a:miracle:linux:tomcat5-server-lib, p-cpe:/a:miracle:linux:tomcat5-jsp-2.0-api-javadoc, p-cpe:/a:miracle:linux:tomcat5-webapps, p-cpe:/a:miracle:linux:tomcat5-common-lib, p-cpe:/a:miracle:linux:tomcat5-jasper-javadoc, cpe:/o:miracle:linux:3, p-cpe:/a:miracle:linux:tomcat5-jsp-2.0-api, p-cpe:/a:miracle:linux:tomcat5-servlet-2.4-api-javadoc, p-cpe:/a:miracle:linux:tomcat5-servlet-2.4-api, p-cpe:/a:miracle:linux:tomcat5-admin-webapps, p-cpe:/a:miracle:linux:tomcat5-jasper, p-cpe:/a:miracle:linux:tomcat5
必需的 KB 项: Host/local_checks_enabled, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list, Host/cpu
可利用: true
易利用性: Exploits are available
补丁发布日期: 2009/8/19
漏洞发布日期: 2008/2/9
可利用的方式
CANVAS (D2ExploitPack)
参考资料信息
CVE: CVE-2007-5333, CVE-2008-5515, CVE-2009-0033, CVE-2009-0580, CVE-2009-0781, CVE-2009-0783