更新现在可用于 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 6.4。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。此 Red Hat JBoss Enterprise Application Platform 6.4.20 版本可替换 Red Hat JBoss Enterprise Application Platform 6.4.19，并包含多项缺陷补丁和增强，详情请参阅“参考”部分中链接的版本说明文档。安全修复：* jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-7525 修复不完全） (CVE-2017-15095) * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-15095 修复不完全） (CVE-2017-17485) * slf4j：EventData 构造函数中的反序列化漏洞允许任意代码执行 (CVE-2018-8088) * Apache ActiveMQ Artemis：不受信任的输入反序列化漏洞 (CVE-2016-4978) * solr：通过索引复制 HTTP API 实现目录遍历 (CVE-2017-3163) * tomcat：错误处理安全限制中的空字符串 URL 可能导致资源意外暴露 (CVE-2018-1304) * jackson-databind：CVE-2017-7525 修复不完全，使通过 c3p0 库的序列化不安全 (CVE-2018-7489) 有有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Liao Xinxi (NSFOCUS) 报告 CVE-2017-15095，0c0c0f 来自 360Guan Xing Shi Yan Shi 报告 CVE-2017-17485，以及 Chris McCown 报告 CVE-2018-8088。

远程 Redhat Enterprise Linux 5 主机上安装的多个程序包受到 RHSA-2018:1450 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。

    此 Red Hat JBoss Enterprise Application Platform 6.4.20 版本可替换 Red Hat JBoss Enterprise Application Platform 6.4.19，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。

    安全修复：

    * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-7525 修复不完全）(CVE-2017-15095)

    * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-15095 修复不完全）(CVE-2017-17485)

    * slf4j：EventData 构造函数中的反序列化漏洞允许任意代码执行 (CVE-2018-8088)

    * Apache ActiveMQ Artemis：不受信任的输入反序列化漏洞 (CVE-2016-4978)

    * solr：通过索引复制 HTTP API 实现目录遍历 (CVE-2017-3163)

    * tomcat：错误处理安全约束中的空字符串 URL 可能导致资源意外泄露 (CVE-2018-1304)

    * jackson-databind：由于对 CVE-2017-7525 的修复不完整，因此允许通过 c3p0 库进行不安全的序列化 (CVE-2018-7489)

    有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    Red Hat 在此感谢 Liao Xinxi (NSFOCUS) 报告 CVE-2017-15095，0c0c0f 来自 360 报告 CVE-2017-17485，以及 Chris McCown 报告 CVE-2018-8088。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Tomcat 版本比 8.5.28 舊。因此，會受到 fixed_in_apache_tomcat_8.5.28_security-8 公告中提及的多個弱點影響。

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，由 Servlet 註解定義的安全性條件約束僅在載入 Servlet 後才會套用。以此方式定義的安全性條件約束會套用到 URL 模式以及該點之下的任何 URL，因此可能會根據載入 Servlet 的順序，而沒有套用部分安全性條件約束。
    這可能導致向未獲存取授權的使用者洩漏資源。(CVE-2018-1305)

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，當安全性條件約束定義中使用到完全對應至內容 root 的 (空字串) URL 模式時，程式未做正確的處理。這會造成條件約束被忽略。因此未經授權的使用者可存取應該受到保護的 Web 應用程式資源。只有具有空字串 URL 模式的安全性條件約束會受到影響。(CVE-2018-1304)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

CGI Servlet 搜尋演算法的文件不正確可能導致設定錯誤：在適用於錯誤 61201 的修正中，Apache Tomcat 的文件包含 CGI Servlet 所使用之搜尋演算法的更新說明，以識別要執行的指令碼。此更新不正確。因此，有些指令碼可能無法如預期般執行，有些指令碼則以非預期的方式執行。請注意，CGI servlet 的行為在這方面保持不變。僅針對行為錯誤的文件，而且已經更正。(CVE-2017-15706) 安全性條件約束若過晚應用，會導致資源洩漏給未經授權的使用者：由 Apache Tomcat 中的 Servlet 註解定義的安全性條件約束，僅在載入 Servlet 後才會套用。以此方式定義的安全性條件約束會套用到 URL 模式以及該點之下的任何 URL，因此可能會根據載入 Servlet 的順序，而沒有套用部分安全性條件約束。這可能導致向未獲存取授權的使用者洩漏資源。(CVE-2018-1305) 在安全性條件約束中錯誤處理空白字串 URL 會導致資源意外洩漏：完全對應至內容 root 的 ‘’ (空白字串) 的 URL 模式在 Apache Tomcat 中當做安全性條件約束定義一部分使用時，未得到正確處理。這會造成條件約束被忽略。因此未經授權的使用者可存取應該受到保護的 Web 應用程式資源。只有具有空白字串之 URL 模式的安全性條件約束會受到影響。(CVE-2018-1304)

在 Tomcat Servlet 和 JSP 引擎中發現數個安全性弱點。CVE-2018-1304 當安全性限制定義中使用到完全對應至內容 root 的 ‘’ (空白字串) URL 模式時，Apache Tomcat 並未做正確的處理。這會造成條件約束被忽略。因此，未經授權的使用者可存取應該受到保護的 Web 應用程式資源。只有具有空白字串之 URL 模式的安全性條件約束會受到影響。CVE-2018-1305 由 Apache Tomcat 中的 Servlet 註解定義的安全性條件約束，僅在載入 Servlet 後才會套用。以此方式定義的安全性條件約束會套用到 URL 模式以及該點之下的任何 URL，因此可能會根據載入 Servlet 的順序，而沒有套用部分安全性條件約束。這可能導致資源洩漏給未獲存取授權的使用者。針對 Debian 8「Jessie」，這些問題已在 8.0.14-1~deb8u12 版本中修正。我們建議您升級 tomcat8 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，當安全性條件約束定義中使用到完全對應至內容 root 的 (空字串) URL 模式時，程式未做正確的處理。這會造成條件約束被忽略。因此未經授權的使用者可存取應該受到保護的 Web 應用程式資源。只有具有空字串 URL 模式的安全性條件約束會受到影響。(CVE-2018-1304)

請注意，Nessus 依賴供應商報告的套件存在。

現已提供適用於 Red Hat Enterprise Linux 6 之 Red Hat JBoss Enterprise Application Platform 6.4 的 jboss-ec2-eap 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。jboss-ec2-eap 套件提供適用於 Amazon Web Services (AWS) Elastic Compute Cloud (EC2) 上執行的 Red Hat JBoss Enterprise Application Platform 的指令碼。此更新已更新 jboss-ec2-eap 套件，確保與 Red Hat JBoss Enterprise Application Platform 6.4.19 的相容性。安全性修正：* jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-7525 的修正不完整) (CVE-2017-15095) * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-15095 的修正不完整) (CVE-2017-17485) * slf4j：EventData 建構函式中的還原序列化弱點可導致任意程式碼執行 (CVE-2018-8088) * Apache ActiveMQ Artemis：不受信任輸入的還原序列化弱點 (CVE-2016-4978) * solr：透過索引覆寫 HTTP API 進行目錄周遊 (CVE-2017-3163) * tomcat：在安全性條件約束中錯誤處理空白字串 URL 會導致資源意外洩露 (CVE-2018-1304) * jackson-databind：CVE-2017-7525 的不完整修正導致透過 c3p0 程式庫發生不安全的序列化 (CVE-2018-7489) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。Red Hat 感謝 Liao Xinxi (NSFOCUS) 報告 CVE-2017-15095；0c0c0f (來自 360Guan Xing Shi Yan Shi) 報告 CVE-2017-17485；以及 Chris McCown 報告 CVE-2018-8088。

據發現，當啟用 HTTP PUT 時，Tomcat 未正確處理其設定。遠端攻擊者可利用此問題將 JSP 檔案上傳到伺服器，並執行任意程式碼。此問題僅影響 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 17.10。
(CVE-2017-12616、CVE-2017-12617)

據發現，Tomcat 包含錯誤文件，這份文件關於 CGI Servlet 用於識別要執行之指令碼的搜尋演算法的說明。此問題只會影響 Ubuntu 17.10。(CVE-2017-15706)

據發現，Tomcat 未正確處理安全性限制定義中的 en 空白字串 URL 模式。遠端攻擊者可能會利用此問題存取網頁應用程式資源，這與預期行為相反。此問題僅影響了 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 17.10。(CVE-2018-1304)

據發現，Tomcat 未正確處理某些安全性限制的套用。遠端攻擊者可能會存取某些資源，這與預期行為相反。此問題僅影響了 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 17.10。(CVE-2018-1305)

據發現，Tomcat CORS 篩選器預設設定不安全，可能會為所有來源啟用「supportsCredentials」，這與預期行為相反。(CVE-2018-8014)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2018:1450 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。

    此 Red Hat JBoss Enterprise Application Platform 6.4.20 版本是 Red Hat JBoss Enterprise Application Platform 6.4.19 的替代版本，其中包含數個錯誤修正和增強功能，詳情請參閱〈參照〉中的「版本資訊」連結。

    安全性修正：

    * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-7525 的修正不完整) (CVE-2017-15095)

    * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-15095 的修正不完整) (CVE-2017-17485)

    * slf4j：EventData 建構函式中的反序列化弱點可導致任意程式碼執行 (CVE-2018-8088)

    * Apache ActiveMQ Artemis：不受信任輸入的還原序列化弱點 (CVE-2016-4978)

    * solr：透過索引覆寫 HTTP API 進行目錄遊走 (CVE-2017-3163)

    * tomcat：在安全性條件約束中錯誤處理空白字串 URL 會導致資源意外洩露 (CVE-2018-1304)

    * jackson-databind：CVE-2017-7525 的修正不完整導致可透過 c3p0 程式庫進行不安全的序列化 (CVE-2018-7489)

    如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    Red Hat 感謝 Liao Xinxi (NSFOCUS) 報告 CVE-2017-15095；0c0c0f (來自 360) 報告 CVE-2017-17485；以及 Chris McCown 報告 CVE-2018-8088。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 RHEL 6 之 Red Hat JBoss Web Server 3.1 和 RHEL 7 之 Red Hat JBoss Web Server 3.1 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat JBoss Web Server 是一組已完全整合並經過認證的元件，可用於主控 Java Web 應用程式。它由 Apache HTTP Server、Apache Tomcat Servlet 容器、Apache Tomcat Connector (mod_jk)、JBoss HTTP Connector (mod_cluster)、Hibernate 和 Tomcat Native 程式庫所組成。此 Red Hat JBoss Web Server 3.1 Service Pack 2 版本是 Red Hat JBoss Web Server 3.1 的替代項目，其中包含錯誤修正，詳情請前往〈參照〉中的「版本資訊」連結。安全性修正：* apr：apr_time_exp*() 函式中發生超出邊界陣列 deref (CVE-2017-12613) * tomcat：透過 JSP 上傳發生遠端程式碼執行 (CVE-2017-12615) * tomcat：使用 VirtualDirContext 時發生資訊洩漏 (CVE-2017-12616) * tomcat：CVE-2017-12615 的遠端程式碼執行繞過 (CVE-2017-12617) * tomcat-native：用戶端憑證的錯誤處理導致 OCSP 檢查繞過 (CVE-2017-15698) * tomcat：在安全性條件約束中錯誤處理空白字串 URL 會導致資源意外洩漏 (CVE-2018-1304) * tomcat：安全性條件約束若過晚應用，會導致資源洩漏給未經授權的使用者 (CVE-2018-1305) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

現已提供適用於 Red Hat Enterprise Linux 6 之 Red Hat JBoss Enterprise Application Platform 6.4 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。此 Red Hat JBoss Enterprise Application Platform 6.4.20 版本是 Red Hat JBoss Enterprise Application Platform 6.4.19 的替代版本，其中包含數個錯誤修正和增強功能，詳情請參閱〈參照〉中的「版本資訊」連結。安全性修正：* jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-7525 的修正不完整) (CVE-2017-15095) * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-15095 的修正不完整) (CVE-2017-17485) * slf4j：EventData 建構函式中的還原序列化弱點可導致任意程式碼執行 (CVE-2018-8088) * Apache ActiveMQ Artemis：不受信任輸入的還原序列化弱點 (CVE-2016-4978) * solr：透過索引覆寫 HTTP API 進行目錄周遊 (CVE-2017-3163) * tomcat：在安全性條件約束中錯誤處理空白字串 URL 會導致資源意外洩漏 (CVE-2018-1304) * jackson-databind：CVE-2017-7525 的不完整修正導致透過 c3p0 程式庫發生不安全的序列化 (CVE-2018-7489) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。Red Hat 感謝 Liao Xinxi (NSFOCUS) 報告 CVE-2017-15095；0c0c0f (來自 360Guan Xing Shi Yan Shi) 報告 CVE-2017-17485；以及 Chris McCown 報告 CVE-2018-8088。

The version of Apache Tomcat installed on the remote host is version 8.5.x prior to 8.5.28. It is, therefore, affected by a security constraints flaw which could expose resources to unauthorized users.

The version of Apache Tomcat installed on the remote host is version 8.0.x prior to 8.0.50. It is, therefore, affected by a security constraints flaw which could expose resources to unauthorized users.

The version of Apache Tomcat installed on the remote host is version 7.x prior to 7.0.85. It is, therefore, affected by a security constraints flaw which could expose resources to unauthorized users.

The version of Apache Tomcat installed on the remote host is version 9.0.x prior to 9.0.5. It is, therefore, affected by a security constraints flaw which could expose resources to unauthorized users.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
109906	RHEL 6：JBoss EAP (RHSA-2018:1449)	Nessus	Red Hat Local Security Checks	2018/5/18	2025/4/29	critical
233045	RHEL 5：Red Hat JBoss Enterprise Application Platform 6.4.20 (RHSA-2018:1450)	Nessus	Red Hat Local Security Checks	2025/3/20	2025/3/20	critical
106977	Apache Tomcat 8.5.0 < 8.5.28 多個弱點	Nessus	Web Servers	2018/2/23	2024/5/23	medium
108598	Amazon Linux AMI : tomcat80 (ALAS-2018-973)	Nessus	Amazon Linux Local Security Checks	2018/3/27	2024/12/6	medium
111391	Debian DLA-1450-1：tomcat8 安全性更新	Nessus	Debian Local Security Checks	2018/7/30	2024/9/2	medium
247791	Linux Distros 未修補的弱點：CVE-2018-1304	Nessus	Misc.	2025/8/10	2025/8/10	medium
109838	RHEL 6：eap6-jboss-ec2-eap (RHSA-2018:1451)	Nessus	Red Hat Local Security Checks	2018/5/16	2025/4/29	critical
110264	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Tomcat 弱點 (USN-3665-1)	Nessus	Ubuntu Local Security Checks	2018/5/31	2025/9/3	critical
233045	RHEL 5：Red Hat JBoss Enterprise Application Platform 6.4.20 (RHSA-2018:1450)	Nessus	Red Hat Local Security Checks	2025/3/20	2025/3/20	critical
107208	RHEL 6 / 7：Red Hat JBoss Web Server 3.1.0 Service Pack 2 (RHSA-2018:0466)	Nessus	Red Hat Local Security Checks	2018/3/8	2023/4/25	high
109906	RHEL 6：JBoss EAP (RHSA-2018:1449)	Nessus	Red Hat Local Security Checks	2018/5/18	2025/4/29	critical
700693	Apache Tomcat 8.5.x < 8.5.28 Security Constraint Weakness	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	low
700687	Apache Tomcat 8.0.x < 8.0.50 Security Constraint Weakness	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	low
700677	Apache Tomcat 7.0.x < 7.0.85 Security Constraint Weakness	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	medium
700705	Apache Tomcat 9.0.x < 9.0.5 Insecure CGI Servlet Search Algorithm Description Weakness	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	low

检测

插件搜索

critical

critical

medium

medium

medium

medium

critical

critical

critical

high

critical

low

low

medium

low