據發現，當啟用 HTTP PUT 時，Tomcat 未正確處理其設定。遠端攻擊者可利用此問題將 JSP 檔案上傳到伺服器，並執行任意程式碼。此問題僅影響 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 17.10。
(CVE-2017-12616、CVE-2017-12617)

據發現，Tomcat 包含錯誤文件，這份文件關於 CGI Servlet 用於識別要執行之指令碼的搜尋演算法的說明。此問題只會影響 Ubuntu 17.10。(CVE-2017-15706)

據發現，Tomcat 未正確處理安全性限制定義中的 en 空白字串 URL 模式。遠端攻擊者可能會利用此問題存取網頁應用程式資源，這與預期行為相反。此問題僅影響了 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 17.10。(CVE-2018-1304)

據發現，Tomcat 未正確處理某些安全性限制的套用。遠端攻擊者可能會存取某些資源，這與預期行為相反。此問題僅影響了 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 17.10。(CVE-2018-1305)

據發現，Tomcat CORS 篩選器預設設定不安全，可能會為所有來源啟用「supportsCredentials」，這與預期行為相反。(CVE-2018-8014)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

リモートホストにインストールされている Tomcat のバージョンは 8.5.28より前です。したがって、fixed_in_apache_tomcat_8.5.28_security-8 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Apache Tomcat 9.0.0.M1 から 9.0.4、8.5.0 から 8.5.27、8.0.0.RC1 から 8.0.49、7.0.0 から 7.0.84 で、Servlet の注釈により定義されるセキュリティ制約は、Servlet が読み込まれた後にのみ適用されていました。このように定義されたセキュリティ制約は、URL パターンとそのポイント以下の URL に適用されるため、サーブレットのロード順序によっては、セキュリティ制約が適用されないこともありました。
    これにより、アクセス権のないユーザーにリソースが開示される可能性がありました。(CVE-2018-1305)

  - セキュリティ制約定義の一部として使用された場合、Apache Tomcat 9.0.0.M1 から 9.0.4、8.5.0 から 8.5.27、8.0.0.RC1 から 8.0.49、7.0.0 から 7.0.84 では、コンテキストルートに正確にマップされる (空文字列) の URL パターンが正しく処理されませんでした。これにより、制約が無視されました。そのため、権限のないユーザーが、保護されていたはずの Web アプリケーションリソースにアクセスできる可能性がありました。空の文字列の URL パターンを持つセキュリティ制約のみが影響を受けます。(CVE-2018-1304)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このアップデートには8.0.49から8.0.50までのリベースがあり、その他のバグや機能とともに2つのCVEを解決します。

  - rhbz#1548290	CVE-2018-1304 tomcat：セキュリティ制約内の空の文字列URLの誤った処理が、意図しないリソースの漏洩につながる可能性があります

  - rhbz#1548284 CVE-2018-1305 tomcat：セキュリティ制約の遅い適用が、認証されていないユーザーへのリソースの漏洩につながる可能性があります

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

TomcatサーブレットとJSPエンジンに、複数のセキュリティ脆弱性が見つかりました。

CVE-2018-1304セキュリティ制約定義の一部として使用された場合、Apache Tomcatでは、コンテキストルートに正確にマップされる''（空文字列）のURLパターンが正しく処理されませんでした。これにより、制約が無視されました。そのため、権限のないユーザーが、保護されていたはずのWebアプリケーションリソースにアクセスできる可能性がありました。空の文字列のURLパターンを持つセキュリティ制約のみが影響を受けます。

CVE-2018-1305 Apache Tomcatのサーブレットのアノテーションによって定義されるセキュリティ制約は、サーブレットが読み込まれた後にのみ適用されます。
このように定義されたセキュリティ制約は、URLパターンとそのポイント以下のURLに適用されるため、サーブレットのロード順序によっては、セキュリティ制約が適用されないこともありました。これにより、アクセス権のないユーザーにリソースが開示される可能性がありました。

Debian 8「Jessie」では、これらの問題はバージョン8.0.14-1+deb8u12で修正されました。

tomcat8のパッケージをアップグレードするようお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CGIサーブレット検索アルゴリズムの不適切なドキュメントが誤設定につながる可能性があります：バグ61201の修正の一部として、Apache Tomcatのドキュメントには、実行するスクリプトを特定するためにCGIサーブレットが使用する検索アルゴリズムの更新された説明が含まれています。この更新プログラムに誤りがありました。その結果、一部のスクリプトが予定どおりに実行されず、他のスクリプトが予期せず実行された可能性があります。この点に関し、CGIサーブレットの動作は変更されていません。誤りがあり訂正されたのは、動作についてのドキュメントのみです。（CVE-2017-15706）セキュリティ制約の適用が遅れると、権限のないユーザーにリソースが公開される可能性があります：Apache Tomcatのサーブレットの注釈で定義されたセキュリティ制約は、サーブレットが読み込まれた後にのみ適用されます。このように定義されたセキュリティ制約は、URLパターンとそのポイント以下のURLに適用されるため、サーブレットのロード順序によっては、セキュリティ制約が適用されないこともありました。これにより、アクセス権のないユーザーにリソースが開示される可能性がありました。（CVE-2018-1305）セキュリティ制約内の空文字列URLを誤って処理すると、リソースが意図せず公開される可能性があります。セキュリティ制約定義の一部として使用された場合、Apache Tomcatではコンテキストルートに正確にマップされる''（空文字列）のURLパターンが正しく処理されませんでした。これにより、制約が無視されました。そのため、権限のないユーザーが、保護されていたはずのWebアプリケーションリソースにアクセスできる可能性がありました。空の文字列のURLパターンを持つセキュリティ制約のみが影響を受けます。（CVE-2018-1304）

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - セキュリティ制約定義の一部として使用された場合、Apache Tomcat 9.0.0.M1 から 9.0.4、8.5.0 から 8.5.27、8.0.0.RC1 から 8.0.49、7.0.0 から 7.0.84 では、コンテキストルートに正確にマップされる (空文字列) の URL パターンが正しく処理されませんでした。これにより、制約が無視されました。そのため、権限のないユーザーが、保護されていたはずの Web アプリケーションリソースにアクセスできる可能性がありました。空の文字列の URL パターンを持つセキュリティ制約のみが影響を受けます。(CVE-2018-1304)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

更新プログラムが、RHEL 6のRed Hat JBoss Web Server 3.1およびRHEL 7のRed Hat JBoss Web Server 3.1で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Web Serverは、Java Webアプリケーションをホスティングするための完全に統合され認定されたコンポーネントのセットです。これは、Apache HTTP Server、Apache Tomcatサーブレットコンテナ、Apache Tomcatコネクタ（mod_jk）、JBoss HTTPコネクタ（mod_cluster）、Hibernate、Tomcat Nativeライブラリで構成されています。Red Hat JBoss Web Server 3.1 Service Pack 2のこのリリースはRed Hat JBoss Web Server 3.1の置き換えとして機能し、「参照」でリンクされているリリースノートにドキュメント化されているバグ修正が含まれています。セキュリティ修正プログラム：* apr：apr_time_exp *()関数の領域外配列デリファレンス（CVE-2017-12613）* tomcat：JSPアップロードを介してリモートでコードが実行される（CVE-2017-12615）* tomcat：VirtualDirContext使用時の情報漏えい（CVE-2017-12616）* tomcat：リモートのコード実行によるCVE-2017-12615のバイパス（CVE-2017-12617）* tomcat-native：クライアント証明書の誤った処理によるOCSPチェックバイパス（CVE-2017-15698）* tomcat：セキュリティ制約内の空の文字列URLの誤った処理によるリソースの意図しない公開の可能性（CVE-2018-1304）* tomcat：セキュリティ制約の適用が遅れたことによる認証されていないユーザーへのリソース公開の可能性（CVE-2018-1305）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

Tomcatが構成を不適切に処理し、HTTP PUTを有効にすることがわかりました。リモートの攻撃者がこの問題を利用して、JSPファイルをサーバーにアップロードし、任意のコードを実行する可能性があります。この問題の影響を受けるのはUbuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 17.10のみです。
(CVE-2017-12616、CVE-2017-12617) 

実行するスクリプトを特定するためにCGIサーブレットで使用される検索アルゴリズムの説明に関する不正なドキュメントが、Tomcatに含まれることがわかりました。この問題の影響を受けるのは Ubuntu 17.10のみです。(CVE-2017-15706) 

Tomcatがセキュリティ制約の定義で空文字列のURLパターンを不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用し、予想に反してWebアプリケーションリソースへのアクセス権限を取得する可能性があります。この問題の影響を受けるのはUbuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 17.10のみです。(CVE-2018-1304) 

Tomcatが特定のセキュリティ制約の適用を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、予想に反して特定のリソースにアクセスする可能性があります。この問題の影響を受けるのはUbuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 17.10のみです。(CVE-2018-1305) 

Tomcat CORSフィルターのデフォルト設定は安全ではなく、予想に反して、すべてのオリジンに対して「supportsCredentials」を有効にすることがわかりました。(CVE-2018-8014)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2018:1450 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform は、JBoss Application Server をベースにした Java アプリケーション用のプラットフォームです。

    Red Hat JBoss Enterprise Application Platform 6.4.20のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.19に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。

    セキュリティ修正プログラム:

    * jackson-databind: 不完全なブラックリスト (CVE-2017-7525 に対する不完全な修正) による安全でない逆シリアル化 (CVE-2017-15095)

    * jackson-databind: 不完全なブラックリスト (CVE-2017-15095 に対する不完全な修正) による安全でない逆シリアル化 (CVE-2017-17485)

    * slf4j: EventData コンストラクターのシリアル化解除の脆弱性により、任意のコードが実行される可能性があります (CVE-2018-8088)

    * Apache ActiveMQ Artemis: 信頼できない入力値の逆シリアル化の脆弱性 (CVE-2016-4978)

    * solr: Index Replication の HTTP API によるディレクトリトラバーサル (CVE-2017-3163)

    * tomcat: セキュリティ制約内の空の文字列 URL の誤った処理による、リソースの意図しない公開の可能性 (CVE-2018-1304)

    * jackson-databind: CVE-2017-7525 の不完全な修正により、c3p0 ライブラリによる安全でないシリアル化が可能になります (CVE-2018-7489)

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    Red Hat は、CVE-2017-15095を報告してくれた Liao Xinxi 氏 (NSFOCUS)、CVE-2017-17485を報告してくれた 360 の 0c0c0f、CVE-2018-8088を報告してくれた Chris McCown 氏に感謝の意を表します。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

jboss-ec2-eap用の更新プログラムが、Red Hat Enterprise Linux 6対応のRed Hat JBoss Enterprise Application Platform 6.4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。jboss-ec2-eapパッケージは、Amazon Web Services（AWS）Elastic Compute Cloud（EC2）で実行するRed Hat JBoss Enterprise Application Platform用のスクリプトを提供します。この更新プログラムにより、Red Hat JBoss Enterprise Application Platform 6.4.19との互換性を確保するためにjboss-ec2-eapパッケージが更新されています。セキュリティ修正プログラム：*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-7525に対する不完全な修正）（CVE-2017-15095）*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-15095に対する不完全な修正）（CVE-2017-17485）*slf4j：任意のコードが実行される可能性のあるEventDataコンストラクターの逆シリアル化の脆弱性（CVE-2018-8088）*Apache ActiveMQ Artemis：信頼できない入力値の逆シリアル化の脆弱性（CVE-2016-4978）*solr：Index ReplicationのHTTP APIによるディレクトリトラバーサル（CVE-2017-3163）* tomcat：セキュリティ制約の空の文字列URLが不適切に処理されるため、リソースが意図せず表示される脆弱性（CVE-2018-1304）*jackson-databind：c3p0ライブラリの安全ではないシリアル化が発生するCVE-2017-7525の不完全な修正（CVE-2018-7489）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2017-15095を報告してくれたLiao Xinxi氏（NSFOCUS）、CVE-2017-17485を報告してくれた360Guan Xing Shi Yan Shi の0c0c0f、CVE-2018-8088を報告してくれたChris McCown氏に感謝の意を表します。

Red Hat JBoss Enterprise Application Platform 6.4の更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.20のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.19を置換するもの機能し、「参照」でリンクされているリリースノートにドキュメント化されているバグ修正と拡張機能が含まれています。セキュリティ修正プログラム：*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-7525に対する不完全な修正）（CVE-2017-15095）*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-15095に対する不完全な修正）（CVE-2017-17485）*slf4j：任意のコードが実行される可能性のあるEventDataコンストラクターの逆シリアル化の脆弱性（CVE-2018-8088）*Apache ActiveMQ Artemis：信頼できない入力値の逆シリアル化の脆弱性（CVE-2016-4978）*solr：Index ReplicationのHTTP APIによるディレクトリトラバーサル（CVE-2017-3163）* tomcat：セキュリティ制約の空の文字列URLが不適切に処理されるため、リソースが意図せず表示される脆弱性（CVE-2018-1304）*jackson-databind：c3p0ライブラリの安全ではないシリアル化が発生するCVE-2017-7525の不完全な修正（CVE-2018-7489）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2017-15095を報告してくれたLiao Xinxi氏（NSFOCUS）、CVE-2017-17485を報告してくれた360Guan Xing Shi Yan Shi の0c0c0f、CVE-2018-8088を報告してくれたChris McCown氏に感謝の意を表します。

The version of Apache Tomcat installed on the remote host is version 8.5.x prior to 8.5.28. It is, therefore, affected by a security constraints flaw which could expose resources to unauthorized users.

The version of Apache Tomcat installed on the remote host is version 8.0.x prior to 8.0.50. It is, therefore, affected by a security constraints flaw which could expose resources to unauthorized users.

The version of Apache Tomcat installed on the remote host is version 7.x prior to 7.0.85. It is, therefore, affected by a security constraints flaw which could expose resources to unauthorized users.

The version of Apache Tomcat installed on the remote host is version 9.0.x prior to 9.0.5. It is, therefore, affected by a security constraints flaw which could expose resources to unauthorized users.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
110264	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Tomcat 弱點 (USN-3665-1)	Nessus	Ubuntu Local Security Checks	2018/5/31	2025/9/3	critical
106977	Apache Tomcat 8.5.0< 8.5.28の複数の脆弱性	Nessus	Web Servers	2018/2/23	2024/5/23	medium
108838	Fedora 26：1：tomcat（2018-a233dae4ab）	Nessus	Fedora Local Security Checks	2018/4/5	2024/11/21	medium
111391	Debian DLA-1450-1: tomcat8のセキュリティ更新	Nessus	Debian Local Security Checks	2018/7/30	2024/9/2	medium
108598	Amazon Linux AMI：tomcat80（ALAS-2018-973）	Nessus	Amazon Linux Local Security Checks	2018/3/27	2024/12/6	medium
247791	Linux Distros のパッチ未適用の脆弱性: CVE-2018-1304	Nessus	Misc.	2025/8/10	2025/8/10	medium
107208	RHEL 6/7：Red Hat JBoss Web Server 3.1.0 Service Pack 2（RHSA-2018:0466）	Nessus	Red Hat Local Security Checks	2018/3/8	2023/4/25	high
110264	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS : Tomcat の脆弱性 (USN-3665-1)	Nessus	Ubuntu Local Security Checks	2018/5/31	2025/9/3	critical
233045	RHEL 5 : Red Hat JBoss Enterprise Application Platform 6.4.20 (RHSA-2018:1450)	Nessus	Red Hat Local Security Checks	2025/3/20	2025/3/20	critical
109838	RHEL 6：eap6-jboss-ec2-eap（RHSA-2018:1451）	Nessus	Red Hat Local Security Checks	2018/5/16	2025/4/29	critical
109906	RHEL 6：JBoss EAP（RHSA-2018：1449）	Nessus	Red Hat Local Security Checks	2018/5/18	2025/4/29	critical
700693	Apache Tomcat 8.5.x < 8.5.28 Security Constraint Weakness	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	low
700687	Apache Tomcat 8.0.x < 8.0.50 Security Constraint Weakness	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	low
700677	Apache Tomcat 7.0.x < 7.0.85 Security Constraint Weakness	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	medium
700705	Apache Tomcat 9.0.x < 9.0.5 Insecure CGI Servlet Search Algorithm Description Weakness	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	low

检测

插件搜索

critical

medium

medium

medium

medium

medium

high

critical

critical

critical

critical

low

low

medium

low