远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2017-1908:03 公告中提及的多个漏洞的影响。

    Tomcat 是用于正式的 Java Servlet 和 JavaServer Pages 技术引用实现中的 servlet 容器。
    Java Servlet 和 JavaServer Pages 规范由 Sun 在 Java Community Process 下制定。
    Tomcat 在开放和参与的环境中开发，并在 Apache 软件许可协议版本 2.0 下发布。Tomcat 的目标是成为全球最佳开发人员的协作平台。
    CVE-2016-0762 如果提供的用户名没有处理提供的密码则 Apache Tomcat 9.0.0.M1 至 9.0.0.M9、 8.5.0 至 8.5.48.0.36、 8.0.0.RC1 至 [] 、 7.0.0 至 7.0.70 和 6.0.0 至 6.0.45 中的 Realm 实现不会处理提供的密码不存在。这可能造成计时攻击判断出有效的用户名。请注意，默认配置包括可使该漏洞更难以利用的 LockOutRealm。
    CVE-2016-5018 在 Apache Tomcat 9.0.0.M1 至 9.0.0.M9、 8.5.0 至 8.5.4、 8.0.0.RC1 至 8.0.36、 7.0.0 至 7.0.70 以及 6.0.0 至 6.0.45 中恶意 Web 应用程序能够通过 Tomcat 实用工具方法绕过已配置的 SecurityManager可供 Web 应用程序访问的文件。
    CVE-2016-6794 配置 SecurityManager 时Web 应用程序读取系统属性的能力应该受到 SecurityManager 的控制。Apache Tomcat 中 9.0.0.M1 至 9.0.0.M9、 8.5.0 至 8.5.4、 8.0.0.RC1 至 8.0.36、 7.0.0 至 7.0.70、 6.0.0 至 6.0.45 中配置文件的系统属性替换功能可被恶意 Web 应用程序用于绕过SecurityManager 和 读取不可见的系统属性。
    在 Apache Tomcat 9.0.0.M1 至 9.0.0.M9、 8.5.0 至 8.5.4、 8.0.0.RC1 至 8.0.36、 7.0.0 至 7.0.70 以及 6.0.0 至 6.0.45 上运行的CVE-2016-6796 一个恶意 Web 应用程序能够通过操纵配置 JSP Servlet 的参数。
    CVE-2016-6797 Apache Tomcat 中的 ResourceLinkFactory 实现 9.0.0.M1 至 9.0.0.M9、 8.5.0 至 8.5.4、 8.0.0.RC1 至 8.0.36、 7.0.0 至 7.0.70 以及 6.0.0 至 6.0.45 未将 Web 应用程序对全局 JNDI 资源的访问限制为这些资源明确链接到 Web 应用程序。
    因此，Web 应用程序可能会访问任何全局 JNDI 资源，无论是否已配置明确的 ResourceLink。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 7tomcat-7.0.76-2.el7 (AXSA:2017-1908:03)

critical Nessus 插件 ID 289766

版本 1.1