在 RequestUtil.java 中发现一个目录遍历漏洞，其允许经认证的远程用户绕过预定的 SecurityManager 限制，并通过
Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名称中的 /..（斜线点点）列出父目录。
(CVE-2015-5174)

发现一个会话固定漏洞，远程攻击者可能会利用此漏洞，在使用不同的会话设置部署同一 Web 应用程序的多个版本时，利用 requestedSessionSSL 字段来处理意外请求，从而劫持 Web 会话。(CVE-2015-5346)

已发现表达式语言解析器对特权代码部分内的表达式求值。恶意 Web 应用程序可利用此缺陷绕过安全管理器保护。(CVE-2014-7810)

检测

Amazon Linux AMI：tomcat7 (ALAS-2016-657)

high Nessus 插件 ID 89838

未找到变更日志