遠端 Debian 11 主機上安裝的多個套件受到 dla-4244 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4244-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 : tomcat9 版本 : 9.0.107-0+deb11u1 CVE ID : CVE-2024-34750 CVE-2024-54677 CVE-2025-31650 CVE-2025-31651 CVE-2025-46701 CVE-2025-48976 CVE-2025-48988 CVE-2025-49125 CVE-2025-52434 CVE-2025-52520 CVE-2025-53506

    在 Java Web 伺服器和 servlet 引擎 Tomcat 9 中發現多個安全性弱點。最值得注意的是，此次更新改善了 HTTP/2 連線的處理方式，並更正了多個可能導致不受控制資源消耗和拒絕服務的瑕疵。

    針對 Debian 11 bullseye，已在 9.0.107-0+deb11u1 版本中修正這些問題。

    建議您升級 tomcat9 套件。

    如需有關 tomcat9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/tomcat9

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，此版本會受到 ALAS2023-2025-1031 公告中提及的一個弱點影響。

    在 Apache Tomcat 的 GCI servlet 中不當處理大小寫弱點導致安全性限制繞過安全性限制這些限制適用於對應至 CGI servlet 之 URI 的 pathInfo 元件。

    此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.6 (含)、10.1.0-M1 至 10.1.40 (含)、9.0.0.M1 至 9.0.104 (含)。

    建議使用者升級至 11.0.7、10.1.41 或 9.0.105 版，即可修正此問題。
    (CVE-2025-46701)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上執行的 Atlassian Jira Service Management Data Center and Server (Jira Service Desk) 版本受到 JSDSERVER-16311 公告中所提及的一個弱點影響。

  - Apache Tomcat 的 GCI servlet 中不當處理大小寫弱點允許安全性限制繞過安全性限制，這些限制適用於對應至 CGI servlet 之 URI 的 pathInfo 元件。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.6 (含)、10.1.0-M1 至 10.1.40 (含)、9.0.0.M1 至 9.0.104 (含)。建議使用者升級至 11.0.7、10.1.41 或 9.0.105 版，即可修正此問題。(CVE-2025-46701)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Oracle Database Server 版本受到 2025 年 7 月 CPU 公告中提及的多個弱點。

  - Oracle Database Server 的 Oracle Database 元件中的弱點。受影響的支援版本是 19.3-19.27 和 23.4-23.8。利用此弱點的難度較低，具有「建立工作階段」和「建立程序」權限且可透過 Oracle Net 存取網路的低特權攻擊者可藉此弱點入侵 Oracle Database。若成功攻擊此弱點，攻擊者可以接管 Oracle Database。(CVE-2025-30751)

  - Oracle Database Server 的 Java VM 元件中存在弱點。受影響的支援版本是 19.3-19.27 和 21.3-21.18。利用此弱點的難度較低，具有「建立工作階段」和「建立程序」權限且可透過 Oracle Net 存取網路的低特權攻擊者可藉此弱點入侵 Java VM。
    雖然弱點位於 Java VM 中，但攻擊可能對其他產品造成重大影響 (範圍變更)。
    成功攻擊此弱點可導致未經授權地存取重要資料，或完整存取所有可供存取的 Java VM 資料。(CVE-2025-50069)

  - Oracle Database Server 的 Oracle Text (FreeType) 元件中存在的弱點。受影響的支援版本是 19.3-19.27、21.3-21.18 和 23.4-23.8。利用此弱點的難度較高，擁有「建立工作階段」、「建立索引」權限且可透過 Oracle Net 存取網路的低特權攻擊者可藉此入侵 Oracle Text (FreeType)。若成功攻擊此弱點，可以接管 Oracle Text (FreeType)。(CVE-2025-27363)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Tomcat 版本低於 9.0.105。因此，會受到 fixed_in_apache_tomcat_9.0.105_security-9 公告中所提及的一個弱點影響。

  - Apache Tomcat 的 GCI servlet 中不當處理大小寫弱點允許安全性限制繞過安全性限制，這些限制適用於對應至 CGI servlet 之 URI 的 pathInfo 元件。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.6 (含)、10.1.0-M1 至 10.1.40 (含)、9.0.0.M1 至 9.0.104 (含)。建議使用者升級至 11.0.7、10.1.41 或 9.0.105 版，即可修正此問題。(CVE-2025-46701)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Tomcat 版本低於 10.1.41。因此，它受到 fixed_in_apache_tomcat_10.1.41_security-10 公告中提及的一個弱點影響。

  - Apache Tomcat 的 GCI servlet 中不當處理大小寫弱點允許安全性限制繞過安全性限制，這些限制適用於對應至 CGI servlet 之 URI 的 pathInfo 元件。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.6 (含)、10.1.0-M1 至 10.1.40 (含)、9.0.0.M1 至 9.0.104 (含)。建議使用者升級至 11.0.7、10.1.41 或 9.0.105 版，即可修正此問題。(CVE-2025-46701)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

如 JSDSERVER-16311 公告中所述远程主机上运行的 Atlassian Jira Service Management Data Center 和 Server (Jira Service Desk) 版本受到漏洞的影响。

  - Apache Tomcat 的 GCI Servlet 中存在大小写敏感性处理不当漏洞，这使得安全约束无法应用于映射到 CGI Servlet 的 URI 的 pathInfo 组件，从而绕过安全约束。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.6、10.1.0-M1 至 10.1.40、9.0.0.M1 至 9.0.104。建议用户升级至已修复该问题的版本 11.0.7、10.1.41 或 9.0.105。(CVE-2025-46701)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Database Server 版本受到 2025 年 7 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Database Server 的 Oracle Database 组件中的漏洞。支持的版本中受影响的是 19.3-19.27 和 23.4-23.8。攻击此漏洞的难度较低，具有网络访问权限和 Create Session、Create Procedure 特权的低权限攻击者可利用此漏洞通过 Oracle Net 入侵 Oracle Database。成功利用此漏洞进行攻击可导致接管 Oracle Database。(CVE-2025-30751)

  - Oracle Database Server 的 Java VM 组件中存在漏洞。支持的版本中受影响的是 19.3-19.27 和 21.3-21.18。攻击此漏洞的难度较低，具有网络访问权限和 Create Session、Create Procedure 特权的低权限攻击者可利用此漏洞通过 Oracle Net 入侵 Java VM。
    虽然漏洞位于 Java VM 中，但攻击可能对其他产品造成重大影响（范围更改）。
    成功攻击此漏洞可导致在未经授权的情况下访问重要数据，或完整访问所有可供访问的 Java VM 数据。(CVE-2025-50069)

  - Oracle Database Server 的 Oracle Text (FreeType) 组件中存在漏洞。支持的版本中受影响的是 19.3-19.27、21.3-21.18 和 23.4-23.8。利用此漏洞的难度较大，具有创建会话和创建索引权限并通过 Oracle Net 访问网络的低权限攻击者可利用此漏洞破坏 Oracle Text (FreeType)。成功利用此漏洞进行攻击可导致接管 Oracle Text (FreeType)。(CVE-2025-27363)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 9.0.105。因此，它受到 fixed_in_apache_tomcat_9.0.105_security-9 公告中提及的一个漏洞影响。

  - Apache Tomcat 的 GCI Servlet 中存在大小写敏感性处理不当漏洞，这使得安全约束无法应用于映射到 CGI Servlet 的 URI 的 pathInfo 组件，从而绕过安全约束。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.6、10.1.0-M1 至 10.1.40、9.0.0.M1 至 9.0.104。建议用户升级至已修复该问题的版本 11.0.7、10.1.41 或 9.0.105。(CVE-2025-46701)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 10.1.41。因此，它受到 fixed_in_apache_tomcat_10.1.41_security-10 公告中提及的一个漏洞影响。

  - Apache Tomcat 的 GCI Servlet 中存在大小写敏感性处理不当漏洞，这使得安全约束无法应用于映射到 CGI Servlet 的 URI 的 pathInfo 组件，从而绕过安全约束。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.6、10.1.0-M1 至 10.1.40、9.0.0.M1 至 9.0.104。建议用户升级至已修复该问题的版本 11.0.7、10.1.41 或 9.0.105。(CVE-2025-46701)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
242491	Debian dla-4244 : libtomcat9-embed-java - 安全性更新	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	high
240330	Amazon Linux 2023：tomcat10、tomcat10-admin-webapps、tomcat10-el-5.0-api (ALAS2023-2025-1031)	Nessus	Amazon Linux Local Security Checks	2025/6/23	2025/8/12	medium
243565	Atlassian Jira Service Management Data Center and Server 5.12.x < 5.12.24 / 10.3.x < 10.3.7 / 10.6.x < 10.7.0 (JSDSERVER-16311)	Nessus	Misc.	2025/8/5	2025/8/5	high
242296	Oracle 資料庫伺服器 (2025 年 7 月 CPU)	Nessus	Databases	2025/7/18	2025/7/18	high
237498	Apache Tomcat 9.0.0.M1 < 9.0.105	Nessus	Web Servers	2025/5/29	2025/8/12	medium
237499	Apache Tomcat 10.1.0.M1 < 10.1.41	Nessus	Web Servers	2025/5/29	2025/8/12	medium
243565	Atlassian Jira Service Management Data Center 和 Server 5.12.x < 5.12.24 / 10.3.x < 10.3.7 / 10.6.x < 10.7.0 (JSDSERVER-16311)	Nessus	Misc.	2025/8/5	2025/8/5	high
242296	Oracle Database Server (2025 年 7 月 CPU)	Nessus	Databases	2025/7/18	2025/7/18	high
237498	Apache Tomcat 9.0.0.M1 < 9.0.105	Nessus	Web Servers	2025/5/29	2025/8/12	medium
237499	Apache Tomcat 10.1.0.M1 < 10.1.41	Nessus	Web Servers	2025/5/29	2025/8/12	medium

检测

插件搜索

high

medium

high

high

medium

medium

high

high

medium

medium