在 Tomcat Servlet 和 JSP 引擎中发现多个安全漏洞，其可能导致计时攻击以确定有效用户名、绕过 SecurityManager、泄露系统属性、对全局资源的无限制访问、任意文件覆盖以及潜在的权限升级。

远程主机上安装的 Tomcat 版本低于 8.0.37。因此，它受到 fixed_in_apache_tomcat_8.5.5_and_8.0.37_security-8 公告中提及的多个漏洞影响。

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.0.M9、8.5.0 至 8.5.4、8.0.0.RC1 至 8.0.36、7.0.0 至 7.0.70 以及 6.0.0 至 6.0.45 版本中，ResourceLinkFactory 实现未将 Web 应用程序对全局 JNDI 资源的访问限制为明确链接至 Web 应用程序的资源。因此，Web 应用程序可能会访问任何全局 JNDI 资源，无论是否已配置明确的 ResourceLink。(CVE-2016-6797)

  - 运行在 Apache Tomcat 9.0.0.M1 至 9.0.0.M9、8.5.0 至 8.5.4、8.0.0.RC1 至 8.0.36、7.0.0 至 7.0.70 以及 6.0.0 至 6.0.45 版本上的恶意 Web 应用程序，可通过操作 JSP Servlet 的配置参数，绕过已配置的 SecurityManager。(CVE-2016-6796)

  - 配置 SecurityManager 时，Web 应用程序读取系统属性的能力应该受到 SecurityManager 的控制。在 Apache Tomcat 9.0.0.M1 至 9.0.0.M9、8.5.0 至 8.5.4、8.0.0.RC1 至 8.0.36、7.0.0 至 7.0.70 以及 6.0.0 至 6.0.45 版本中，恶意 Web 应用程序可使用配置文件的 Tomcat 系统属性替换功能，绕过 SecurityManager 并读取不可见的系统属性。(CVE-2016-6794)

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.0.M9、8.5.0 至 8.5.4、8.0.0.RC1 至 8.0.36、7.0.0 至 7.0.70 以及 6.0.0 至 6.0.45 版本中，恶意 Web 应用程序可以通过 Tomcat 实用工具方式（可访问 Web 应用程序），绕过已配置的 SecurityManager。(CVE-2016-5018)

  - 如果提供的用户名不存在，则 Apache Tomcat 9.0.0.M1 至 9.0.0.M9、8.5.0 至 8.5.4、8.0.0.RC1 至 8.0.36、7.0.0 至 7.0.70 以及 6.0.0 至 6.0.45 版本中的 Realm 实现不会处理提供的密码。这可能造成计时攻击判断出有效的用户名。请注意，默认配置包括可使该漏洞更难以利用的 LockOutRealm。
    (CVE-2016-0762)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

jboss-ec2-eap 的更新现在可用于 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 6.4。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。jboss-ec2-eap 程序包为 Amazon Web Services (AWS) Elastic Compute Cloud (EC2) 上运行的 Red Hat JBoss Enterprise Application Platform 提供脚本。通过此更新，已更新 jboss-ec2-eap 程序包以确保兼容 Red Hat JBoss Enterprise Application Platform 6.4.16。安全修复：* 已发现 Red Hat JBoss Enterprise Application 6 和 7 中的日志文件查看器允许经身份验证的用户通过路径遍历读取任意文件。(CVE-2017-2595) * 已发现一种恶意 Web 应用程序可以通过 Tomcat 实用工具方式（可访问 Web 应用程序），绕过已配置的 SecurityManager。(CVE-2016-5018) * 已发现恶意 Web 应用程序可通过操作 JSP Servlet 的配置参数，绕过已配置的 SecurityManager。(CVE-2016-6796)

下列程序包已升级到更新的上游版本：tomcat (7.0.76)。安全修复：- 如果提供的用户名不存在，则 Realm 实现不会处理提供的密码。这可能造成计时攻击判断出有效的用户名。请注意，默认配置包括可使该漏洞更难以利用的 LockOutRealm。(CVE-2016-0762) - 已发现一种恶意 Web 应用程序可以通过 Tomcat 实用工具方式（可访问 Web 应用程序），绕过已配置的 SecurityManager。(CVE-2016-5018) - 已发现配置 SecurityManager 后，恶意 Web 应用程序可使用配置文件的 Tomcat 系统属性替换功能，绕过 SecurityManager 并读取不可见的系统属性。(CVE-2016-6794) - 已发现恶意 Web 应用程序可通过操作 JSP Servlet 的配置参数，绕过已配置的 SecurityManager。(CVE-2016-6796) - 已发现 Web 应用程序可能会访问任何全局 JNDI 资源，无论是否已配置明确的 ResourceLink。(CVE-2016-6797)

在 Tomcat Servlet 和 JSP 引擎中发现多个安全漏洞，其可能导致计时攻击以确定有效用户名、绕过 SecurityManager、泄露系统属性、对全局资源的无限制访问、任意文件覆盖以及潜在的权限升级。此外，此更新进一步强化了 Tomcat 的 init 和 maintainer 脚本，以防止可能的权限升级。感谢 Paul Szabo 的报告。对于 Debian 7“Wheezy”，这些问题已在 7.0.28-4+deb7u7 版本中修复。我们建议您升级 tomcat7 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
95033	Debian DSA-3720-1：tomcat8 - 安全更新	Nessus	Debian Local Security Checks	2016/11/22	2021/1/11	high
95034	Debian DSA-3721-1：tomcat7 - 安全更新	Nessus	Debian Local Security Checks	2016/11/22	2021/1/11	high
197850	Apache Tomcat 8.0.0.RC1 < 8.0.37 多个漏洞	Nessus	Web Servers	2024/5/23	2024/5/23	critical
100949	RHEL 6：jboss-ec2-eap (RHSA-2017:1552)	Nessus	Red Hat Local Security Checks	2017/6/21	2019/10/24	high
102664	Scientific Linux 安全更新：SL7.x 中的 tomcat (noarch)	Nessus	Scientific Linux Local Security Checks	2017/8/22	2021/1/14	high
95455	Debian DLA-729-1：tomcat7 安全更新	Nessus	Debian Local Security Checks	2016/12/2	2023/5/14	critical

检测

插件搜索

high

high

critical

high

high

critical