根据其标题，远程主机上运行的 Apache 版本为低于 2.4.35 的 2.4.x。因此，该产品系列受到以下漏洞的影响：

  - 通过发送最大的连续 SETTINGS 帧，可使 HTTP/2 连接不间断运行并且从不超时。此问题可遭到滥用，使服务器拒绝服务。此问题仅影响已启动 h2 协议的服务器。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

远程主机正在运行的 Zinwave Series 3000 DAS web 界面是一种分布式天线系统硬件设备。

远程主机上安装的 OpenSSL 版本低于 1.1.0i。因此，它受到公告 1.1.0i 中提及的多个漏洞影响。

  - 处理器中的同步多线程 (SMT) 可让本地用户通过“端口争用”上的边信道计时攻击，攻击容易受到计时攻击的软件。(CVE-2018-5407)

  - 在使用基于 DH(E) 的密码套件的 TLS 握手中的密钥协议期间，恶意服务器可向客户端发送非常大的素数值。这将造成客户端不合理地花费很长一段时间为这个 prime 值生成密钥，导致客户端挂起直至该过程完成。可在拒绝服务攻击中利用此缺陷。在 OpenSSL 1.1.0i-dev 中已修复（影响 1.1.0-1.1.0h）。在 OpenSSL 1.0.2p-dev 中已修复（影响 1.0.2-1.0.2o）。(CVE-2018-0732)

  OpenSSL RSA 密钥生成算法已被证明容易受到缓存边信道攻击。在 RSA 密钥生成程序期间，对挂载缓存时序攻击有足够访问权限的攻击者可复原私钥。在 OpenSSL 1.1.0i-dev 中已修复（影响 1.1.0-1.1.0h）。在 OpenSSL 1.0.2p-dev 中已修复（影响 1.0.2b-1.0.2o）。(CVE-2018-0737)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 OpenSSL 版本低于 1.0.2p。因此，它受到公告 1.0.2p 中提及的多个漏洞影响。

  - 在使用基于 DH(E) 的密码套件的 TLS 握手中的密钥协议期间，恶意服务器可向客户端发送非常大的素数值。这将造成客户端不合理地花费很长一段时间为这个 prime 值生成密钥，导致客户端挂起直至该过程完成。可在拒绝服务攻击中利用此缺陷。在 OpenSSL 1.1.0i-dev 中已修复（影响 1.1.0-1.1.0h）。在 OpenSSL 1.0.2p-dev 中已修复（影响 1.0.2-1.0.2o）。(CVE-2018-0732)

  OpenSSL RSA 密钥生成算法已被证明容易受到缓存边信道攻击。在 RSA 密钥生成程序期间，对挂载缓存时序攻击有足够访问权限的攻击者可复原私钥。在 OpenSSL 1.1.0i-dev 中已修复（影响 1.1.0-1.1.0h）。在 OpenSSL 1.0.2p-dev 中已修复（影响 1.0.2b-1.0.2o）。(CVE-2018-0737)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

根据其标题，远程主机上运行的 Apache 版本为低于 2.4.34 的 2.4.x。因此，该应用程序受到以下漏洞的影响：

  - 通过特别构建 HTTP/2 请求，可将工作进程分配为长于所需的 60 秒，导致工作进程耗尽及拒绝服务。(CVE-2018-1333)

  - 通过特别构建 HTTP 请求，mod_md 质询处理程序将取消空指针引用并造成子进程段错误。这可用于造成服务器拒绝服务。(CVE-2018-8011)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

由于 Java 对象不安全的反序列化，远程 Oracle WebLogic 服务器受到 Core Components 子组件中远程代码执行漏洞的影响。未经身份验证的远程攻击者可利用此问题，通过构建的 Java 对象，在 WebLogic 服务器环境中执行任意 Java 代码。

远程主机正在运行 Apache HTTP Server，这是一种开源 Web 服务器。可以从错误页面读取版本号。

远程主机上安装的 Tomcat 版本低于 9.0.9。因此，它受到 fixed_in_apache_tomcat_9.0.9_security-9 公告中提及的一个漏洞影响。

  - Apache Tomcat 9.0.0.M1 至 9.0.8、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52、7.0.41 至 7.0.88 中提供的 CORS 筛选器默认设置不安全，并会为所有来源启用“supportsCredentials”。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大部分用户不会受到此问题的影响。(CVE-2018-8014)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 7.0.89。因此，它受到 fixed_in_apache_tomcat_7.0.89_security-7 公告中提及的一个漏洞影响。

  - Apache Tomcat 9.0.0.M1 至 9.0.8、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52、7.0.41 至 7.0.88 中提供的 CORS 筛选器默认设置不安全，并会为所有来源启用“supportsCredentials”。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大部分用户不会受到此问题的影响。(CVE-2018-8014)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 8.5.32。因此，它受到 fixed_in_apache_tomcat_8.5.32_security-8 公告中提及的多个漏洞的影响。

  - 如果应用程序在容器触发异步超时的同时完成了异步请求，则存在争用条件，可能导致用户看到针对其他用户的响应。NIO 和 NIO2 连接器中存在另一个问题，当应用程序完成异步请求同时容器触发超时时，该问题未正确跟踪连接的关闭。这也可能导致用户看到针对其他用户的响应。
    受影响的版本：Apache Tomcat 9.0.0.M9 至 9.0.9、8.5.5 至 8.5.31。(CVE-2018-8037)

  - 当使用有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。受影响的版本：Apache Tomcat 9.0.0.M1 至 9.0.9、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52 以及 7.0.35 至 7.0.88。(CVE-2018-8034)

  - Apache Tomcat 9.0.0.M1 至 9.0.8、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52、7.0.41 至 7.0.88 中提供的 CORS 筛选器默认设置不安全，并会为所有来源启用“supportsCredentials”。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大部分用户不会受到此问题的影响。(CVE-2018-8014)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 8.0.53。因此，它受到 fixed_in_apache_tomcat_8.0.53_security-8 公告中提及的多个漏洞影响。

  - 当使用有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。受影响的版本：Apache Tomcat 9.0.0.M1 至 9.0.9、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52 以及 7.0.35 至 7.0.88。(CVE-2018-8034)

  - Apache Tomcat 9.0.0.M1 至 9.0.8、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52、7.0.41 至 7.0.88 中提供的 CORS 筛选器默认设置不安全，并会为所有来源启用“supportsCredentials”。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大部分用户不会受到此问题的影响。(CVE-2018-8014)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机正在运行的 NetApp SANtricity Web Services Proxy，可提供用于管理 NetApp 控制器的 REST API。

NetApp SANtricity Web Services Proxy 版本号为 01.10.x.x < 02.13.x.x，低于 02.13.x.x. 版本。因而受到远程代码执行漏洞的影响。请注意，Nessus 并未试图利用此问题，而仅依赖于应用程序的版本号。

远程主机上安装的 OpenSSL 版本低于 1.0.2o。因此，该应用程序受到 1.0.2o 公告中提及的一个漏洞影响。

  - 含有递归定义的构造 ASN.1 类型（如可在 PKCS7 中找到）在提供含有过多递归的恶意输入的情况下，最终可导致堆栈溢出。这可导致拒绝服务攻击。SSL/TLS 中没有来自不可信源的此类结构，因此认为这是安全的。在 OpenSSL 1.1.0h 中已修复（影响 1.1.0-1.1.0g）。在 OpenSSL 1.0.2o 中已修复（影响 1.0.2b-1.0.2n）。(CVE-2018-0739)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Web 服务器上正在运行 Java EE 应用程序服务器 Oracle（前身为 BEA）WebLogic。

由于 RMI 注册表对 Java 对象进行不安全的反序列化，远程 Oracle WebLogic 服务器受到 Core Components 子组件中远程代码执行漏洞的影响。未经身份验证的远程攻击者可利用此问题，通过构建的 Java 对象，在 WebLogic 服务器环境中执行任意 Java 代码。请注意，此插件不会尝试直接利用此 RCE，而是会检查是否存在 Oracle 于 2018 年 4 月关键修补程序更新 (CPU) 中提供的修补程序。

远程主机上安装的 JBoss 应用程序服务器受到远程代码执行漏洞的影响。HTTP Invoker 服务内 ReadOnlyAccessFilter 类的 doFilter 方法中存在缺陷，未限制执行反序列化的对象类别。
这允许未经身份验证的远程攻击者，通过构建的序列化数据，执行任意代码。

为执行更为准确的测试，并获得 RCE 遭利用的精确证据，请在扫描配置中设置“执行全面测试（可能会中断您的网络或影响扫描速度）”。

根据 HTTP 服务器标题，远程服务器为 IIS 7.0。服务器可能容易受到数个漏洞的攻击，包括一些远程代码执行漏洞。

远程 Web应用程序具有使用 HTTP GET 请求发送凭据的表单。这会导致服务器将诸如用户名和密码等敏感信息记录到访问日志中。

使用 HTTP 协议的服务作者不得使用 GET 式表单提交敏感数据，因为这将导致在 Request-URI 中编码此数据。许多现有服务器、代理和用户代理会把请求 URI 记录在第三方可以查看的位置。

此插件仅当扫描策略中启用“检查 PCI-DSS 合规性”时才运行。

远程主机上运行的 IBM WebSphere Application Server 版本为低于 9.0.0.8 的 9.x.x.x。因此，受到伪造攻击漏洞的影响。

远程主机上的服务标题响应显示，OS 的安装等级易受到一个或多个漏洞的影响。此插件仅当扫描策略中启用“检查 PCI-DSS 合规性”时才运行。如果启用本地安全检查，则不会运行。运行标题和指纹中自我报告的 OS 版本。

远程主机的服务标题响应提示 Linux 内核安装的级别可能容易受到一个或多个非拒绝服务漏洞的影响。

此插件仅当扫描策略中启用“检查 PCI-DSS 合规性”时才运行。如果启用本地安全检查，插件便不会运行。插件会耗尽标题中自我报告的内核版本。

远程主机正在运行 Aspen HTTP 服务器，这是用于 Python Web 框架的文件系统调度库。可以从标题中读取版本号。

根据其标题，远程主机上运行的 Aspen 版本早于 0.22。因此，受到目录遍历漏洞的影响，这是由于未正确清理用户提供输入所致。请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

远程 Web 服务器被识别为适用于 Zimbra 的多线程 HTTP 服务器此第三方 Zimbra 附加组件未能以允许遍历攻击的方式清理 URL。未经身份验证的远程攻击者可借此查看远程主机上的任意文件。

远程 Web 服务器上托管的 nginx 版本低于或1.9.x低于 1.8.11.9.10. 因此，如供应商公告所述，会受到多个漏洞的影响。

远程 Web 服务器上托管的 nginx 版本低于或0.8.x低于 0.7.670.8.41. 因此，如供应商公告所述，会受到远程拒绝服务 (DoS) 漏洞的影响。

远程 Web 服务器上托管的 nginx 版本低于或0.8.x低于 0.7.660.8.40. 因此，如供应商公告所述，会受到源代码信息泄露漏洞的影响。

远程 Web 服务器上托管的 nginx 版本低于或0.8.x低于 0.7.640.8.23. 因此，如供应商公告所述，会受到多个漏洞的影响。

远程 Web 服务器上托管的 nginx 版本低于或0.8.x低于 0.7.630.8.17. 因此，该应用程序受到供应商公告中提及的目录遍历漏洞的影响。

根据其标题，远程主机上运行的 Apache Traffic Server 版本为 5.2.0 和 5.3.2 之间的版本、低于 6.2.2 的 6.x 或低于 7.1.2 的 7.x。因而会受到与处理 TLS 握手相关缺陷的影响，允许远程攻击者造成应用程序崩溃。请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

根据其标题，远程主机上运行的 Apache Traffic Server 版本为低于 6.2.2 的 6.x 或低于 7.1.2 的 7.x。因而会受到与处理 'Host' 标头和分行相关的输入验证漏洞的影响，允许远程攻击者造成使用错误的主机。请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

远程主机上安装的 Apache Tomcat 版本为低于 9.0.5 的 9.0.x。因此，它受到安全限制缺陷的影响，该缺陷可导致资源暴露给未经授权的用户。); # http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.5script_set_attribute(attribute:see_also, value:http://www.nessus.org/u?909ff130

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，完全映射至环境 root 的（空字符串）的 URL 模式用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问应该受到保护的 Web 应用程序资源。只有具有空字符串 URL 模式的安全限制会受到影响。(CVE-2018-1304)

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，由 Servlet 注释定义的安全限制仅在 Servlet 加载后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此有些安全限制可能没有应用（视 Servlet 的加载顺序而定）。
    这可能导致资源泄漏给没有访问权限的用户。(CVE-2018-1305)

远程主机上安装的 Tomcat 版本低于 8.5.28。因此，它受到 fixed_in_apache_tomcat_8.5.28_security-8 公告中提及的多个漏洞影响。

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，由 Servlet 注释定义的安全限制仅在 Servlet 加载后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此有些安全限制可能没有应用（视 Servlet 的加载顺序而定）。
    这可能导致资源泄漏给没有访问权限的用户。(CVE-2018-1305)

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，完全映射至环境 root 的（空字符串）的 URL 模式用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问应该受到保护的 Web 应用程序资源。只有具有空字符串 URL 模式的安全限制会受到影响。(CVE-2018-1304)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 8.0.50。因此，它受到 fixed_in_apache_tomcat_8.0.50_security-8 公告中提及的多个漏洞影响。

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，由 Servlet 注释定义的安全限制仅在 Servlet 加载后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此有些安全限制可能没有应用（视 Servlet 的加载顺序而定）。
    这可能导致资源泄漏给没有访问权限的用户。(CVE-2018-1305)

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，完全映射至环境 root 的（空字符串）的 URL 模式用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问应该受到保护的 Web 应用程序资源。只有具有空字符串 URL 模式的安全限制会受到影响。(CVE-2018-1304)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 7.0.85。因此，它受到 fixed_in_apache_tomcat_7.0.85_security-7 公告中提及的多个漏洞影响。

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，由 Servlet 注释定义的安全限制仅在 Servlet 加载后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此有些安全限制可能没有应用（视 Servlet 的加载顺序而定）。
    这可能导致资源泄漏给没有访问权限的用户。(CVE-2018-1305)

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，完全映射至环境 root 的（空字符串）的 URL 模式用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问应该受到保护的 Web 应用程序资源。只有具有空字符串 URL 模式的安全限制会受到影响。(CVE-2018-1304)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 IBM WebSphere Application Server 是低于 7.0.0.45的 7.0.0.0、低于 8.0.0.15 的 8.0.0.0、低于 8.5.5.14 的 8.5.0.0 或低于 9.0.0.7 的 9.0.0.0。因此，该服务器受到管理控制台中一个不明权限提升漏洞的影响。经身份验证的远程攻击者可利用此问题获得提升的权限。

远程主机上安装的 Tomcat 版本低于 9.0.2。因此，它受到 fixed_in_apache_tomcat_9.0.2_security-9 公告中提及的一个漏洞影响。

  在适用于错误 61201 的修复中，9.0.0.M22 至 9.0.1、8.5.16 至 8.5.23、8.0.45 至 8.0.47 以及 7.0.79 至 7.0.82 版本的 Apache Tomcat 的文件包含 CGI Servlet 所使用之搜索算法的更新说明，以识别要执行的脚本。此更新不正确。因此，有些脚本可能无法如预期般执行，有些脚本则以非预期的方式执行。请注意，CGI servlet 的行为在这方面保持不变。仅针对行为错误的文件，而且已经更正。(CVE-2017-15706)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 8.5.24。因此，它受到 fixed_in_apache_tomcat_8.5.24_security-8 公告中提及的一个漏洞影响。

  在适用于错误 61201 的修复中，9.0.0.M22 至 9.0.1、8.5.16 至 8.5.23、8.0.45 至 8.0.47 以及 7.0.79 至 7.0.82 版本的 Apache Tomcat 的文件包含 CGI Servlet 所使用之搜索算法的更新说明，以识别要执行的脚本。此更新不正确。因此，有些脚本可能无法如预期般执行，有些脚本则以非预期的方式执行。请注意，CGI servlet 的行为在这方面保持不变。仅针对行为错误的文件，而且已经更正。(CVE-2017-15706)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 8.0.48。因此，它受到 fixed_in_apache_tomcat_8.0.48_security-8 公告中提及的一个漏洞影响。

  在适用于错误 61201 的修复中，9.0.0.M22 至 9.0.1、8.5.16 至 8.5.23、8.0.45 至 8.0.47 以及 7.0.79 至 7.0.82 版本的 Apache Tomcat 的文件包含 CGI Servlet 所使用之搜索算法的更新说明，以识别要执行的脚本。此更新不正确。因此，有些脚本可能无法如预期般执行，有些脚本则以非预期的方式执行。请注意，CGI servlet 的行为在这方面保持不变。仅针对行为错误的文件，而且已经更正。(CVE-2017-15706)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 7.0.84。因此，它受到 fixed_in_apache_tomcat_7.0.84_security-7 公告中提及的一个漏洞影响。

  在适用于错误 61201 的修复中，9.0.0.M22 至 9.0.1、8.5.16 至 8.5.23、8.0.45 至 8.0.47 以及 7.0.79 至 7.0.82 版本的 Apache Tomcat 的文件包含 CGI Servlet 所使用之搜索算法的更新说明，以识别要执行的脚本。此更新不正确。因此，有些脚本可能无法如预期般执行，有些脚本则以非预期的方式执行。请注意，CGI servlet 的行为在这方面保持不变。仅针对行为错误的文件，而且已经更正。(CVE-2017-15706)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Nessus 能够通过查看远程主机上的 HTTP 标题，检测 lighttpd HTTP 服务器。

根据其标题，远程主机上运行的 lighttpd 版本低于 1.4.36。因而会受到以下漏洞的影响：- 低于 1.4.36 的 lighttpd 中的 mod_auth 允许远程攻击者通过不带冒号字符的基本 HTTP 认证字符串，注入任意日志条目，包含 NULL 和新行字符串即为一例。请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

根据其标题，远程主机上运行的 lighttpd 版本低于 1.4.28。因而会受到下列漏洞的影响：- 在 Debian GNU/Linux 上，低于 1.4.28 的 lighttpd 中，FastCGI PHP 支持的配置文件会使用包含在 /tmp 中的可预测名称创建套接字文件，这允许本地用户通过符号链接攻击或争用条件来劫持 PHP 控制套接字，并执行未授权的操作，例如强制使用不同版本的 PHP。请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

根据其标题，远程主机上运行的 lighttpd 版本低于 1.4.26 或为 1.5.0。因而会受到以下漏洞的影响：- lighttpd 为每个读取操作分配缓冲区，允许远程攻击者通过将请求分解成小片段慢速发送，而造成拒绝服务（内存耗用）。请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

根据其标题，远程主机上运行的 lighttpd 版本低于 1.4.19。因而可能会受到下列漏洞的影响：- lighttpd 未正确计算文件描述符数组的大小，允许远程攻击者通过大量连接触发越界访问，导致拒绝服务（崩溃）。- 发生分支错误时，lighttpd 发送 CGI 脚本的源代码，而非 500 错误，可能允许远程攻击者获得敏感信息。- 未设置 userdir.path 时使用默认 $HOME，可能允许远程攻击者读取任意文件。请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

根据其标题，远程主机上运行的 lighttpd 版本低于 1.4.16。因而会受到多个漏洞的影响：- mod_auth 允许远程攻击者通过不明媒介造成拒绝服务，包括 (1) 内存泄露、(2) 使用不具有 cnonce 的 md5-sess、(3) base64 编码字符串，以及 (4) Auth-Digest 标头中的结尾空白。(CVE-2007-3946) - 服务器允许远程攻击者，通过发送具有重复标头的 HTTP 请求，造成拒绝服务。(CVE-2007-3947) - 服务器可能接受多于已配置上限的连接，允许远程攻击者通过大量连接尝试次数，造成拒绝服务。(CVE-2007-3948) - mod_access 忽视 URL 中的结尾/（斜杠）字符，允许远程攻击者绕过 url.access-deny 设置 (CVE-2007-3949) - 在 32 位平台运行时，服务器允许远程攻击者通过不明媒介造成拒绝服务（后台程序崩溃），涉及使用 (1) mod_scgi、(2) mod_fastcgi 和 (3) mod_webdav 模块内某些调试消息中的不兼容格式描述符。(CVE-2007-3950) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。

远程 Web 服务器使用默认 IIS 索引页面。此页面可能包含其他版本信息，并可指示配置错误的服务器。

根据其自我报告的版本，远程主机上运行的 VMware AirWatch Console 安装为低于 9.1.5 的 9.1.x，或低于 9.2.2 的 9.2.x。因此，受到用户输入验证错误的影响，允许跨站请求伪造 (XSRF) 攻击。请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

Nessus 能够通过查看远程主机上的 HTTP 标题，检测 nginx HTTP 服务器。

ID	名称	严重性
117807	Apache 2.4.x < 2.4.35 DoS	medium
117463	Zinwave Series 3000 DAS Web 界面检测	info
112120	OpenSSL 1.1.0 < 1.1.0i 多个漏洞	medium
112119	OpenSSL 1.0.2 < 1.0.2p 多个漏洞	medium
111788	Apache 2.4.x < 2.4.34 多个漏洞	high
111665	Oracle WebLogic 服务器反序列化 RCE (CVE-2018-2893)	critical
111465	Apache HTTP 服务器错误页面检测	info
111069	Apache Tomcat 9.0.0 < 9.0.9	critical
111066	Apache Tomcat 7.0.0 < 7.0.89	critical
111068	Apache Tomcat 8.5.5 < 8.5.32 多个漏洞	critical
111067	Apache Tomcat 8.0.0.RC1 < 8.0.53 多个漏洞	critical
110944	NetApp SANtricity Web Services Proxy 检测	info
110943	NetApp SANtricity Web Services Proxy 未经认证的 RCE	critical
109945	OpenSSL 1.0.2b < 1.0.2o 漏洞	medium
109553	Oracle WebLogic HTTP 检测	info
109429	Oracle WebLogic 服务器反序列化 RCE (CVE-2018-2628)	critical
109321	JBoss Enterprise Application Platform doFilter() 方法不安全反序列化 RCE	critical
108808	Microsoft IIS 7.0 漏洞（无凭据）(PCI/DSS)	high
108807	使用 GET 的 Web表单发送凭据（PCI-DSS 检查）	medium
108759	IBM WebSphere Application Server 9.0.0.0 < 9.0.0.8 伪造攻击漏洞	medium
108591	标题报告中检测到的 OS 漏洞（PCI-DSS 检查）	high
108590	在标题报告（PCI-DSS 检查）中检测到内核漏洞	high
108381	Aspen HTTP 服务器检测	info
108380	Aspen < 0.22 目录遍历	medium
108373	适用于 Zimbra 的多线程 HTTP 服务器 v1.1	medium
107265	nginx < 1.8.1 / 1.9.x < 1.9.10 多个漏洞	critical
107264	nginx < 0.7.67 / 0.8.x < 0.8.41 DoS	medium
107263	nginx < 0.7.66 / 0.8.x < 0.8.40 信息泄露	medium
107262	nginx < 0.7.64 / 0.8.x < 0.8.23 多个漏洞	medium
107261	nginx < 0.7.63 / 0.8.x < 0.8.17 目录遍历	medium
107228	Apache Traffic Server 5.2.0 - 5.3.2 / 6.x < 6.2.2 / 7.x < 7.1.2 TLS 握手 DoS	high
107227	Apache Traffic Server 6.x < 6.2.2 / 7.x < 7.1.2 主机标头和分行漏洞	high
106978	Apache Tomcat 9.0.0.M1 < 9.0.5 不安全 CGI Servlet 搜索算法描述弱点	medium
106977	Apache Tomcat 8.5.0 < 8.5.28 多个漏洞	medium
106976	Apache Tomcat 8.0.0.RC1 < 8.0.50 多个漏洞	medium
106975	Apache Tomcat 7.0.0 < 7.0.85 多个漏洞	medium
106843	IBM WebSphere Application Server 7.0.0.0 < 7.0.0.45 / 8.0.0.0 < 8.0.0.15 / 8.5.0.0 < 8.5.5.14 / 9.0.0.0 < 9.0.0.7 管理控制台不明的不安全安全远程权限提升	high
106713	Apache Tomcat 9.0.0。M22 < 9.0.2	medium
106712	Apache Tomcat 8.5.16 < 8.5.24	medium
106711	Apache Tomcat 8.0.45 < 8.0.48	medium
106710	Apache Tomcat 7.0.79 < 7.0.84	medium
106628	lighttpd HTTP 服务器检测	info
106627	lighttpd < 1.4.36 多个漏洞	high
106626	lighttpd < 1.4.28 不安全的临时文件创建	low
106625	lighttpd < 1.4.26 或 1.5.0 拒绝服务	medium
106624	lighttpd < 1.4.19 多个漏洞	medium
106623	lighttpd < 1.4.16 多个漏洞	high
106609	Microsoft Windows IIS 默认索引页面	medium
106584	VMware AirWatch Console 9.1.x < 9.1.5 / 9.2.x < 9.2.2 XSRF	high
106375	nginx HTTP 服务器检测	info

检测

Nessus 的 Web Servers 系列

medium

info

medium

medium

high

critical

info

critical

critical

critical

critical

info

critical

medium

info

critical

critical

high

medium

medium

high

high

info

medium

medium

critical

medium

medium

medium

medium

high

high

medium

medium

medium

medium

high

medium

medium

medium

medium

info

high

low

medium

medium

high

medium

high

info