安全性修正：- tomcat：UTF-8 解碼程式中的錯誤會導致 DoS (CVE-2018-1336)

遠端主機上安裝的 F5 Networks BIG-IP 版本為 14.0.1.1 / 14.1.0 之前的版本。因此，它受到 K73008537 公告中提及的一個弱點影響。

  - 未使用補充字元在 UTF-8 解碼器中正確處理溢位可能會在解碼器中導致無限迴圈，進而造成拒絕服務。受影響的版本：Apache Tomcat 9.0.0.M9 至 9.0.7、8.5.0 至 8.5.30、8.0.0.RC1 至 8.0.51 和 7.0.28 至 7.0.86。(CVE-2018-1336)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上运行的 Symantec Content Analysis 版本低于 2.3.5.1。因而受到多个漏洞的影响：- 具有补充字符的 UTF-8 解码器中错误处理溢出，可导致解析器无限循环，从而导致拒绝服务。(CVE-2018-1336) - 使用 OCSP 响应程序时，1.2.0 到 1.2.16 版和 1.1.23 到 1.1.34 版的 Apache Tomcat Native 未正确处理无效响应。这会导致被撤销的客户端凭证被错误识别。因此，当使用相互 TLS 时，可能用已撤销的凭证进行验证。(CVE-2018-8019) - Apache Tomcat Native 1.2.0 到 1.2.16 版及 1.1.23 到 1.1.34 版存在缺陷，未正确检查 OCSP 预制响应，此为凭证状态的列表（多个条目）。(CVE-2018-8020) - 当使用有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。(CVE-2018-8034)

Apache Tomcat 中提供的 CORS 筛选器默认设置是不安全的，并为所有源启用'supportsCredentials'。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大多数用户不会受到此问题影响。(CVE-2018-8014) 在具有增补字符的 UTF-8 解码器中错误处理溢出，可导致解析器无限循环，从而导致拒绝服务。受影响的版本：Apache Tomcat 8.5.0 至 8.5.30。(CVE-2018-1336) 当使用有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。受影响的版本：Apache Tomcat 8.5.0 至 8.5.31。(CVE-2018-8034) 连接闭包追踪缺陷可导致在新连接中重用用户会话。受影响的版本：Apache Tomcat 8.5.5 至 8.5.31。(CVE-2018-8037)

来自 Red Hat 安全公告 2018:2921： tomcat 更新现可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。 安全补丁： * tomcat：UTF-8 解码器中的缺陷会导致 DoS (CVE-2018-1336) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

安全修复：- tomcat：UTF-8 解码器中的缺陷会导致 DoS (CVE-2018-1336)

远程主机上安装的 F5 Networks BIG-IP 版本低于 14.0.1.1 / 14.1.0。因此，该应用程序受到 K73008537 公告中提及的漏洞的影响。

  - 具有补充字符的 UTF-8 解码器中错误处理溢出，可导致解析器无限循环，从而导致拒绝服务。受影响的版本：Apache Tomcat 9.0.0.M9 至 9.0.7、8.5.0 至 8.5.30、8.0.0.RC1 至 8.0.51 和 7.0.28 至 7.0.86。(CVE-2018-1336)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 5 主机上安装的多个程序包受到 RHSA-2018:2742 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。

    此 Red Hat JBoss Enterprise Application Platform 6.4.21 版本可替换 Red Hat JBoss Enterprise Application Platform 6.4.20，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。

    安全修复：

    * hibernate-validator：在安全管理器下运行时执行权限提升 (CVE-2017-7536)

    * guava：在 AtomicDoubleArray 和 CompoundOrdering 类中不受限制的内存分配允许远程攻击者造成拒绝服务 (CVE-2018-10237)

    * picketlink：CVE-2017-2582 的修复在 picketlink.xml 中破坏系统属性进行属性替换的功能 (CVE-2017-2582)

    * jbossweb：tomcat：UTF-8 解码器中的缺陷会导致 DoS (CVE-2018-1336)

    有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    CVE-2017-2582 问题由 Hynek Mlnarik (Red Hat) 发现，CVE-2017-7536 问题由 Gunnar Morling (Red Hat) 发现。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

According to its self-reported version number, the Apache Tomcat instance listening on the remote host is 8.5.x earlier to 8.5.31. It is, therefore, affected by the following vulnerability:

 - A denial of service (DoS) vulnerability exists in Tomcat due to improper overflow handling in the UTF-8 decoder. An unauthenticated, remote attacker can exploit this issue to cause an infinite loop in the decoder, leading to a denial of service condition.

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Apache Tomcat installed on the remote host is < 7.0.88. It is, therefore, affected by a vulnerability as referenced in the fixed_in_apache_tomcat_7.0.88_security-7 advisory. Note that Nessus Network Monitor has not tested for this issue but has instead relied only on the application's self-reported version number.

According to its self-reported version number, the Apache Tomcat instance listening on the remote host is 7.0.x prior to 7.0.88. It is, therefore, affected by the following vulnerability:

- A denial of service (DoS) vulnerability exists in Tomcat due to improper overflow handling in the UTF-8 decoder. An unauthenticated, remote attacker can exploit this issue to cause an infinite loop in the decoder, leading to a denial of service condition.

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

According to its self-reported version number, the Apache Tomcat instance listening on the remote host is 8.0.x prior to 8.0.52. It is, therefore, affected by the following vulnerability:

 - A denial of service (DoS) vulnerability exists in Tomcat due to improper overflow handling in the UTF-8 decoder. An unauthenticated, remote attacker can exploit this issue to cause an infinite loop in the decoder, leading to a denial of service condition.

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

A denial of service (DoS) vulnerability exists in Apache Tomcat, in versions between 9.0.0.M1 and 9.0.7 (inclusive), due to improper overflow handling in the UTF-8 decoder component. An unauthenticated, remote attacker can exploit this issue, to cause the application to stop responding.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
118167	Scientific Linux 安全性更新：SL7.x 上的 tomcat (noarch)	Nessus	Scientific Linux Local Security Checks	2018/10/17	2022/2/8	high
119668	F5 Networks BIG-IP：Apache Tomcat 弱點 (K73008537)	Nessus	F5 Networks Local Security Checks	2018/12/14	2024/1/4	high
125550	Symantec Content Analysis < 2.3.5.1 受多个漏洞影响 (SYMSA1463)	Nessus	Misc.	2019/5/30	2019/10/30	high
111611	Amazon Linux AMI : tomcat8 (ALAS-2018-1056)	Nessus	Amazon Linux Local Security Checks	2018/8/10	2024/8/23	critical
118161	Oracle Linux 7 : tomcat (ELSA-2018-2921)	Nessus	Oracle Linux Local Security Checks	2018/10/17	2024/11/1	high
118167	Scientific Linux 安全更新：SL7.x 中的 tomcat (noarch)	Nessus	Scientific Linux Local Security Checks	2018/10/17	2022/2/8	high
119668	F5 Networks BIG-IP：Apache Tomcat 漏洞 (K73008537)	Nessus	F5 Networks Local Security Checks	2018/12/14	2024/1/4	high
194122	RHEL 5：Red Hat JBoss Enterprise Application Platform 6.4.21 (RHSA-2018:2742)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/3/20	high
700694	Apache Tomcat 8.5.x < 8.5.31 Denial of Service	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	high
701337	Apache Tomcat < 7.0.88 Vulnerability	Nessus Network Monitor	Web Servers	2021/4/14	2021/4/14	medium
700678	Apache Tomcat 7.0.x < 7.0.88 Denial of Service	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	high
700688	Apache Tomcat 8.0.x < 8.0.52 Denial of Service	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	high
700706	Apache Tomcat 9.0.x < 9.0.8 Denial of Service Vulnerability	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	high

检测

插件搜索

high

high

high

critical

high

high

high

high

high

medium

high

high

high