Apache Tomcat 7.0.0 < 7.0.19 多个漏洞

medium Nessus 插件 ID 55759

语言：

简介

远程 Apache Tomcat 服务器受到多个漏洞的影响

描述

远程主机上安装的 Tomcat 版本低于 7.0.19。因此，它受到 fixed_in_apache_tomcat_7.0.19_security-7 公告中提及的多个漏洞影响。

- 在针对 HTTP APR 或 HTTP NIO 连接器启用 sendfile 时，5.5.x 至 5.5.34、6.x 至 6.0.33 以及 7.x 至 7.0.19 版本的 Apache Tomcat 未验证特定请求属性，这样允许本地用户绕过预期文件访问限制，或通过运用未受信任的 Web 应用程序，造成拒绝服务（无限循环或 JVM 崩溃）。(CVE-2011-2526)

- 使用了 MemoryUserDatabase 时，5.5.x 至 5.5.34、6.x 至 6.0.33 以及 7.x 至 7.0.17 版本的 Apache Tomcat 在遇到 JMX 用户创建中的错误时会创建包含密码的日志条目，这样允许本地用户通过读取日志文件来获取敏感信息。(CVE-2011-2204)

- 4.1.0 至 4.1.39、5.5.0 至 5.5.27 以及 6.0.0 至 6.0.18 版本的 Apache Tomcat 允许 Web 应用程序替换用于其他 Web 应用程序的 XML 解析器，其允许本地用户通过比目标应用程序更早加载的特别构建的应用程序，读取或修改任意 Web 应用程序的 (1) Web.xml、(2) context.xml 或 (3) tld 文件。(CVE-2009-0783)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。