在 Apache Tomcat 6.0.45 之前的 6.x 版、7.0.65 之前的 7.x 版以及 8.0.27 之前的 8.x 版中，RequestUtil.java 有一个目录遍历漏洞，可允许经过身份验证的远程用户绕过预期 SecurityManager 限制并通过 web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的 /..（斜杠、点、点）来列出父目录，$CATALINA_BASE/webapps 目录即为一例。(CVE-2015-5174) 影响 经过身份验证的远程用户可以绕过安全管理器获取部署 web 应用程序的目录的目录列表。BIG-IP/Enterprise Manager 拥有了创建和部署恶意 web 应用程序所需的访问级别意味着用户已经具有重要的信任级别（例如：root 级别）。BIG-IP 和 Enterprise Manager 系统不支持 Tomcat 配置中的自定义 web 应用程序。Traffix SDC 如果攻击者有系统本地网络的访问权限，就有可能会利用此漏洞；Tomcat 服务只能从内部网络访问。

检测

F5 网络 BIG-IP：Apache Tomcat 6.x 漏洞 (K30971148)

medium Nessus 插件 ID 97421

版本 3.9