此 tomcat 更新可修正下列問題：

Tomcat 8 已從 8.0.23 更新至 8.0.32，可修正多個錯誤和安全性問題。

修正的安全性問題：

- CVE-2015-5174：在 Apache Tomcat 的 RequestUtil.java 中發現一個目錄遊走弱點，可讓經驗證的遠端使用者繞過預定的 SecurityManager 限制，並透過 /..
 Web 應用程式在 getResource、getResourceAsStream 或 getResourcePaths 呼叫中使用的路徑名稱之 /.. (斜線、點、點)；$CATALINA_BASE/webapps 目錄即為一例。(bsc#967967)

- CVE-2015-5346：不同的工作階段設定用於部署多個版本的相同 Web 應用程式時，Apache Tomcat 中的工作階段固定弱點可能會讓遠端攻擊者利用非預定要求的 requestedSessionSSL 欄位，劫持 Web 工作階段，這與 CoyoteAdapter.java 和 Request.java 有關。
 (bsc#967814)

- CVE-2015-5345：Apache Tomcat 中的 Mapper 元件在考慮安全性限制和篩選器之前，即處理重新導向，進而允許遠端攻擊者透過缺少結尾 / (斜線) 字元的 URL，判斷目錄是否存在。(bsc#967965)

- CVE-2015-5351：Apache Tomcat 中的 (1) Manager 和 (2) Host Manager 應用程式可建立工作階段，並傳送 CSRF token 以用於任意新要求，進而允許遠端攻擊者使用 token 繞過 CSRF 保護機制。(bsc#967812)

- CVE-2016-0706：Apache Tomcat 未將 org.apache.catalina.manager.StatusManagerServlet 放置於 org/apache/catalina/core/RestrictedServlets.properties 清單，其允許經驗證的遠端使用者透過特製的 Web 應用程式，繞過預定的 SecurityManager 限制並讀取任意 HTTP 要求，進而探索工作階段 ID 值。(bsc#967815)

- CVE-2016-0714：Apache Tomcat 中的工作階段持續實作不當處理工作階段屬性，其允許經驗證的遠端使用者透過在工作階段中放置特製物件的 Web 應用程式，繞過預定的 SecurityManager 限制，並在有權限的內容中執行任意程式碼。(bsc#967964)

- CVE-2016-0763：在 Apache Tomcat 的 org/apache/naming/factory /ResourceLinkFactory.java 中，setGlobalContext 方法未考慮 ResourceLinkFactory.setGlobalContext 呼叫器是否獲得授權，其允許經驗證的遠端使用者透過設定特製全域內容的 Web 應用程式，繞過預定的 SecurityManager 限制，並讀取或寫入任意應用程式資料，或造成拒絕服務 (應用程式中斷)。
 (bsc#967966)

完整的變更可在下列網址讀取：
http://tomcat.apache.org/tomcat-8.0-doc/changelog.html

此更新是從 SUSE:SLE-12-SP1:Update 更新專案匯入。

ResourceLinkFactory.setGlobalContext() 是一種公用方法，據發現透過安全管理員底下執行的 web 應用程式可存取該方法，且無須經過任何檢查。惡意 Web 應用程式可藉此插入惡意全域內容，進一步用於中斷其他 Web 應用程式和/或讀取及寫入其他 Web 應用程式所擁有的資料。(CVE-2016-0763)

據發現，Manager 和 Host Manager 應用程式可建立工作階段，並傳送 CSRF token 以用於任意新要求，遠端攻擊者可藉此使用 token 繞過 CSRF 保護機制。(CVE-2015-5351)

Mapper 元件在考慮安全性限制和篩選器之前就處理重新導向，這使遠端攻擊者可透過缺少結尾 / (斜線) 字元的 URL 來判斷目錄是否存在。(CVE-2015-5345)

據發現，工作階段持續實作未正確處理工作階段屬性，經驗證的遠端使用者可藉此透過 Web 應用程式，在工作階段中放置特別建構的物件，進而繞過預定的 SecurityManager 限制，並在有權限的內容中執行任意程式碼。(CVE-2016-0714)

據發現，org.apache.catalina.manager.StatusManagerServlet 未放置於 org/apache/catalina/core/RestrictedServlets.properties 清單，其允許經驗證的遠端使用者透過特製的 web 應用程式，繞過預定的 SecurityManager 限制並讀取任意 HTTP 要求，進而探索工作階段 ID 值。
(CVE-2016-0706)

在 RequestUtil.java 中發現一個目錄遊走弱點，其允許經驗證的遠端使用者繞過預定的 SecurityManager 限制，並透過
Web 應用程式在 getResource、getResourceAsStream 或 getResourcePaths 呼叫中使用的路徑名稱之 /.. (斜線點點) 列出父目錄。
(CVE-2015-5174)

Mapper 元件在考慮安全性限制和篩選器之前就處理重新導向，這使遠端攻擊者可透過缺少結尾 / (斜線) 字元的 URL 來判斷目錄是否存在。(CVE-2015-5345)

據發現，工作階段持續實作未正確處理工作階段屬性，經驗證的遠端使用者可藉此透過 Web 應用程式，在工作階段中放置特別建構的物件，進而繞過預定的 SecurityManager 限制，並在有權限的內容中執行任意程式碼。(CVE-2016-0714)

據發現，org.apache.catalina.manager.StatusManagerServlet 未放置於 org/apache/catalina/core/RestrictedServlets.properties 清單，其允許經驗證的遠端使用者透過特製的 web 應用程式，繞過預定的 SecurityManager 限制並讀取任意 HTTP 要求，進而探索工作階段 ID 值。
(CVE-2016-0706)

安全性修正：- 據發現，Tomcat 套件會將 Tomcat 初始化指令碼所讀取的某些設定檔，以可寫入檔的形式安裝到 tomcat 群組。群組中的某個成員或是部署在 Tomcat 的惡意程式就可利用此缺陷來提升其權限。(CVE-2016-6325) - 據發現，數個 Tomcat 工作階段持續機制可允許經驗證的遠端使用者透過 Web 應用程式，在工作階段中放置特製的物件，藉此繞過預定的 SecurityManager 限制，並在有權限的內容中執行任意程式碼。(CVE-2016-0714) - 據發現，tomcat 使用 HTTP 要求中 Proxy 標頭的值來初始化 CGI 指令碼的 HTTP_PROXY 環境變數，而某些 HTTP 用戶端實作會不當使用這些變數來設定傳出 HTTP 要求的代理伺服器。遠端攻擊者可能利用此缺陷，透過惡意 HTTP 要求，將 CGI 指令碼執行的 HTTP 要求重新導向至受攻擊者控制的代理伺服器。(CVE-2016-5388) - 在 Tomcat 的 RequestUtil.java 中發現一個目錄遊走缺陷。經驗證的遠端使用者可利用此缺陷，繞過預定的 SecurityManager 限制，並透過 Web 應用程式在 getResource、getResourceAsStream 或 getResourcePaths 呼叫中使用的路徑名稱之「/..」來列出父目錄；$CATALINA_BASE/webapps 目錄即為一例。(CVE-2015-5174) - 據發現，即使目錄受到安全性限制保護，Tomcat 仍會洩漏該目錄的存在。使用者可透過結尾非斜線的 URL 來要求某目錄，且可確認該目錄存在與否 (視 Tomcat 是否重新導向該要求而定)。(CVE-2015-5345) - 據發現，已設定安全管理員時，Tomcat 允許 Web 應用程式載入 StatusManagerServlet。這會允許 Web 應用程式列出所有已部署的 Web 應用程式，並洩漏工作階段 ID 等敏感資訊。(CVE-2016-0706) 錯誤修正：- 由於 tomcat6 規格檔中有錯誤，所以系統會在安裝時將 catalina.out 檔案的 md5sum、size 和 mtime 屬性與該檔案的屬性兩相比較。由於這些屬性在服務開始後有所變化，因而造成先前的「rpm -V」命令失敗。在此更新中，我們在進行 RPM 驗證時略過了上述屬性，且 catalina.out 檔案現已通過驗證檢查。

遠端主機受到 GLSA-201705-09 中所述的弱點影響 (Apache Tomcat：多個弱點) 在 Tomcat 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：遠端攻擊者可能會造成拒絕服務情形、取得敏感資訊、繞過保護機制和驗證限制。已是 tomcat 系統使用者或屬於 tomcat 群組的本機攻擊者可能可提升權限。因應措施：目前尚無已知的因應措施。

According to its self-reported version number, the Apache Tomcat instance listening on the remote host is prior to 6.0.45 / 7.0.68 / 8.0.30. It is, therefore, affected by an information disclosure vulnerability:

 - An information disclosure vulnerability exists due to a failure to enforce access restrictions when handling directory requests that are missing trailing slashes. An unauthenticated, remote attacker can exploit this to enumerate valid directories. (CVE-2015-5345)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Apache Tomcat installed on the remote host is version 9.0.x prior to 9.0.0.M3. It is, therefore, affected by multiple vulnerabilities :

 - An information disclosure vulnerability exists due to a failure to enforce access restrictions when handling directory requests that are missing trailing slashes. An unauthenticated, remote attacker can exploit this to enumerate valid directories. (CVE-2015-5345)
 - A flaw exists due to a failure to invalidate a previous session ID when assigning an ID to a new session. An attacker can exploit this, via a crafted request that uses the requestedSessionSSL field to fixate the session ID, to ensure that the user authenticates with a known session ID, allowing the session to be subsequently hijacked. (CVE-2015-5346)
 - An information disclosure vulnerability exists in the Manager and Host Manager web applications due to a flaw in the index page when issuing redirects in response to unauthenticated requests for the root directory of the application. An unauthenticated, remote attacker can exploit this to gain access to the XSRF token information stored in the index page. (CVE-2015-5351)
 - An information disclosure vulnerability exists that allows a specially crafted web application to load the StatusManagerServlet. An attacker can exploit this to gain unauthorized access to a list of all deployed applications and a list of the HTTP request lines for all requests currently being processed. (CVE-2016-0706)
 - A security bypass vulnerability exists due to a flaw in the StandardManager, PersistentManager, and cluster implementations that is triggered when handling persistent sessions. An unauthenticated, remote attacker can exploit this, via a crafted object in a session, to bypass the security manager and execute arbitrary code. (CVE-2016-0714)
 - A flaw exists due to the setGlobalContext() method of ResourceLinkFactory being accessible to web applications even when run under a security manager. An unauthenticated, remote attacker can exploit this to inject malicious global context, allowing data owned by other web applications to be read or written to. (CVE-2016-0763)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
90136	openSUSE 安全性更新：tomcat (openSUSE-2016-384)	Nessus	SuSE Local Security Checks	2016/3/24	2021/1/19	high
90273	Amazon Linux AMI：tomcat7 (ALAS-2016-680)	Nessus	Amazon Linux Local Security Checks	2016/4/1	2018/4/18	high
90274	Amazon Linux AMI：tomcat6 (ALAS-2016-681)	Nessus	Amazon Linux Local Security Checks	2016/4/1	2018/4/18	high
94004	Scientific Linux 安全性更新：SL6.x 上的 tomcat6 (noarch) (httpoxy)	Nessus	Scientific Linux Local Security Checks	2016/10/12	2021/1/14	high
100262	GLSA-201705-09：Apache Tomcat：多個弱點	Nessus	Gentoo Local Security Checks	2017/5/18	2025/12/18	critical
9316	Apache Tomcat 6.0.x < 6.0.45 / 7.0.x < 7.0.68 / 8.0.x < 8.0.30 Directory Traversal	Nessus Network Monitor	Web Servers	2016/5/24	2019/3/6	medium
700699	Apache Tomcat 9.0.x < 9.0.0.M3 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	high

检测

插件搜索

high

high

high

high

critical

medium

high