远程主机上安装的 Tomcat 版本低于 11.0.27。因此，该软件受到 fixed_in_apache_tomcat_11.0.27_security-11 公告中提及的多个漏洞的影响。

  - 在 Apache Tomcat 中，当 JNDI 领域配置为非 GSSAPI SASL 认证机制时，存在一个关键的认证漏洞。该漏洞使得攻击者无需输入正确的密码即可进行身份验证。(CVE-2026-101296)

  - 缓冲区读取不足意味着大型非阻塞写入可导致响应正文在当前请求和在该连接上收到的下一个请求之间拆分，从而最有可能导致第二个请求失败并可能将第一个响应的数据泄漏到第二个响应。
    (CVE-2026-103119)

  - 不正确的对象回收和重用影响异步 servlet 的 HTTP/2 处理可触发用户之间的请求和/或响应混淆。（CVE-2026-101356）

  - Apache Tomcat 中的不完整清理漏洞可造成 TLS 1.3 连接间歇性失败。
    (CVE-2026-93446)

  - Apache Tomcat 中的清理不完整漏洞允许将之前请求中的尾部信息泄漏到后续请求中。（CVE-2026-88041）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Apache Tomcat 11.0.0、M25 < 11.0.27 多个漏洞

critical Nessus 插件 ID 367788

版本 1.3