远程MiracleLinux 3 主机上存在安装的程序包该程序包受到 AXSA:2008-90:02 公告中提及的多个漏洞的影响。

    Tomcat 是用于正式的 Java Servlet 和 JavaServer Pages 技术引用实现中的 servlet 容器。
    Java Servlet 和 JavaServer Pages 规范由 Sun 在 Java Community Process 下制定。
    CVE-2008-1232:
    Apache Tomcat 4.1.0 至 4.1.37、 5.5.0 至 5.5.26以及 6.0.0 至 6.0.16 中的跨站脚本 (XSS) 漏洞允许远程攻击者通过消息参数中使用的构建字符串注入任意 Web 脚本或 HTML映射到 HttpServletResponse.sendError 方法。
    CVE-2008-1947:
    Apache Tomcat 5.5.9 到 5.5.26 和 6.0.0 到 6.0.16 中的跨站脚本 (XSS) 漏洞允许远程攻击者通过 name 参数也称为 hostname 属性将任意 Web 脚本或 HTML 注入 host-manager/html/add 。
    CVE-2008-2370:
    Apache Tomcat 4.1.0 到 4.1.37、 5.5.0 到 5.5.26和 6.0.0 到 6.0.16使用 RequestDispatcher 时会在从 URI 删除查询字符串之前执行路径规范化进而允许远程攻击者执行目录遍历攻击并读取通过 ..
    请求参数中的 ..点点。
    CVE-2008-2938:
    Apache Tomcat 4.1.0 到 4.1.37、 5.5.0 到 5.5.26以及 6.0.0 到 6.0.16中的目录遍历漏洞在启用 allowLinking 和 UTF-8 时允许远程攻击者通过 URI 中编码的目录遍历序列读取任意文件。与 CVE-2008-2370不同的漏洞。
    注意低于 6.0.18 的版本据报告会受到影响但供应商公告将 6.0.16 列为最后一个受影响的版本。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 3 tomcat5-5.5.23-0jpp.7.1.1AXS3 (AXSA:2008-90:02)

medium Nessus 插件 ID 284313

版本 1.2