远程iraclelinux 4 主机上存在安装的程序包该程序包受到 AXSA:2017-2380:03 公告中提及的多个漏洞的影响。

    * 当使用 Sendfile 时在 Tomcat 对流水线请求的处理中发现漏洞。如果 sendfile 处理快速完成，则可以向处理器缓存添加两次处理器。这可导致响应无效或信息泄露。 (CVE-2017-5647)
      * 在 Tomcat 的 DefaultServlet 实现的错误页机制中发现漏洞。
    特制的 HTTP 请求可造成意外副作用其中可能包括删除或替换自定义错误页面。 (CVE-2017-5664)
      * 在 Tomcat 中发现两个漏洞如果 servlet 环境配置了 readonly=false 并且允许 HTTP PUT 请求攻击者可以将 JSP 文件上传到该环境并实现代码执行。 (CVE-2017-12615, CVE-2017-12617) CVE-2017-12615 在启用了 HTTP PUT 的 Windows 上运行 Apache Tomcat 7.0.0 至 7.0.79 时例如通过将 Default 的只读初始化参数设置为 false可通过以下方式将 JSP 文件上传到服务器特别构建的请求。之后服务器可请求此 JSP，执行其中包含的任何代码。
    CVE-2017-12617 在启用 HTTP PUT 的情况下运行 Apache Tomcat 版本 9.0.0.M1 至 9.0.0、 8.5.0 至 8.5.22、 8.0.0.RC1 至 8.0.46 和 7.0.0 至 7.0.81 时例如通过将默认 servlet 的只读初始化参数设置为 false可通过特别构建的请求将 JSP 文件上传到服务器。之后服务器可请求此 JSP，执行其中包含的任何代码。
    CVE-2017-5647 Apache Tomcat 中流水线请求处理中的缺陷 9.0.0.M1 至 9.0.0。M18、 8.5.0 至 8.5.12、 8.0.0.RC1 至 8.0.42、 7.0.0 至 7.0.76以及 6.0.0 至 6.0.52使用发送文件时导致在完成之前请求的发送文件处理时丢失流水线请求。这可能会导致针对错误请求发送响应。例如发送请求 A、B 和 C 的用户代理可以看到对请求 A 的正确响应、对请求 B 的请求 C 的响应对请求 C 则看不到响应。
    CVE-2017-5664 Java Servlet Specification 的错误页面机制要求当发生错误且已为发生的错误配置错误页面时原始请求和响应将被转发至该错误页面。这意味着使用原始 HTTP 方法在错误页面呈现请求。若错误页面是静态文件，按理应是提供文件内容，如同处理 GET 请求，无论实际 HTTP 方式如何。9.0.0.M1 至 9.0.0.M20、8.5.0 至 8.5.14、8.0.0.RC1 至 8.0.43、7.0.0 至 7.0.77 版本的 Apache Tomcat 中的默认 Servlet 未执行此操作。
    根据原始请求，这可能会导致静态错误页面产生意外结果和不良结果，包括替换或删除自定义错误页面（如果 DefaultServlet 配置为允许写入）。关于用户提供的其他错误页面的注释：(1) 除非另外明确编码，否则 JSP 会忽略 HTTP 方法。用作错误页面的 JSP 必须确保其将任何错误分派作为 GET 请求来处理而无论实际方法为何。
    (2) 默认情况下Servlet 生成的响应依赖于 HTTP 方法。用作错误页面的自定义 Servlet 必须确保将任何错误分派作为 GET 请求来处理而无论实际方法为何。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 4tomcat6-6.0.24-111.AXS4 (AXSA:2017-2380:03)

high Nessus 插件 ID 289837

版本 1.3

版本 1.1

版本 1.3 Jan 18, 2026, 1:30 AM CEA reference CISA reference Exploit attributes ("Exploited by malware" set to "True") Plugin Feed: 202601180130
版本 1.1 Jan 16, 2026, 10:12 PM New Plugin Feed: 202601162212