したがって、ALAS2023-2025-1093 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    マルチパートアップロードのいくつかの可能性の低い構成では、Apache Tomcat の整数オーバーフローの脆弱性が、サイズ制限のバイパスを通じて DoS を引き起こす可能性があります。

    この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.8 まで、10.1.0-M1 から 10.1.42 まで、9.0.0.M1 から 9.0.106 まで。

    ユーザーには、この問題を修正したバージョン 11.0.9、10.1.43、9.0.107 へのアップグレードをお勧めします。
    (CVE-2025-52520)

    HTTP/2クライアントが最大許可同時ストリームを減らす初期設定フレームを承認しなかった場合、Apache Tomcatに制御されないリソース消費の脆弱性があります。

    この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.8 まで、10.1.0-M1 から 10.1.42 まで、9.0.0.M1 から 9.0.106 まで。

    ユーザーには、この問題を修正したバージョン 11.0.9、10.1.43、9.0.107 へのアップグレードをお勧めします。
    (CVE-2025-53506)

    Apache Tomcat でのリライトバルブを介したセッション固定の脆弱性。

    この問題は、Apache Tomcat に影響を与えます11.0.0-M1 から 11.0.7、10.1.0-M1 から 10.1.41、 9.0.0.M1 から 9.0.105.Older まで、EOL バージョンも影響を受ける可能性があります。

    ユーザーには、この問題を修正したバージョン 11.0.8、10.1.42、9.0.106 へのアップグレードをお勧めします。
    (CVE-2025-55668)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 10 ホストに、RHSA-2025:14179 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Apache Tomcat は、Java サーブレットと JavaServer Pages (JSP) 技術のサーブレットコンテナです。

    セキュリティ修正プログラム:

    * tomcatマルチパートアップロードの Apache Tomcat DoSCVE-2025-48988

    * tomcatApache Tomcatpre/post-resources のセキュリティ制約のバイパスCVE-2025-49125

    * apache-commons-fileupload一部のヘッダーを介した Apache Commons FileUpload DoSCVE-2025-48976

    * tomcatHTTP/2 コントロールフレームを通じた http/2 MakeYourReset DoS 攻撃CVE-2025-48989

    * tomcatApache Tomcat のサービス拒否CVE-2025-52520

    * tomcatApache Tomcat のサービス拒否CVE-2025-53506

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the ef87346f-5dd0-11f0-beb2-ac5afc632ba3 advisory.

    security@apache.org reports:
    A race condition on connection close could trigger a JVM crash when using the               APR/Native connector leading to a DoS.  This was particularly noticeable with client               initiated closes of HTTP/2 connections.
    An uncontrolled resource consumption vulnerability if an HTTP/2 client did not               acknowledge the initial settings frame that reduces the maximum permitted               concurrent streams could result in a DoS.
    For some unlikely configurations of multipart upload, an Integer Overflow               vulnerability could lead to a DoS via bypassing of size limits.

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES12 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2025:02745-1 advisory.

    - CVE-2025-52520: Fixed integer overflow can lead to DoS for some unlikely configurations of multipart     upload (bsc#1246388)
    - CVE-2025-53506: Fixed uncontrolled resource HTTP/2 client consumption vulnerability (bsc#1246318)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2025:14182 advisory.

    Apache Tomcat is a servlet container for the Java Servlet and JavaServer Pages (JSP) technologies.

    Security Fix(es):

    * tomcat: Apache Tomcat DoS in multipart upload (CVE-2025-48988)

    * tomcat: Apache Tomcat: Security constraint bypass for pre/post-resources (CVE-2025-49125)

    * apache-commons-fileupload: Apache Commons FileUpload DoS via part headers (CVE-2025-48976)

    * tomcat: http/2 MadeYouReset DoS attack through HTTP/2 control frames (CVE-2025-48989)

    * tomcat: Apache Tomcat denial of service (CVE-2025-52520)

    * tomcat: Apache Tomcat denial of service (CVE-2025-52434)

    * tomcat: Apache Tomcat denial of service (CVE-2025-53506)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2025:14180 advisory.

    Apache Tomcat is a servlet container for the Java Servlet and JavaServer Pages (JSP) technologies.

    Security Fix(es):

    * tomcat: Apache Tomcat DoS in multipart upload (CVE-2025-48988)

    * tomcat: Apache Tomcat: Security constraint bypass for pre/post-resources (CVE-2025-49125)

    * apache-commons-fileupload: Apache Commons FileUpload DoS via part headers (CVE-2025-48976)

    * tomcat: http/2 MadeYouReset DoS attack through HTTP/2 control frames (CVE-2025-48989)

    * tomcat: Apache Tomcat denial of service (CVE-2025-52520)

    * tomcat: Apache Tomcat denial of service (CVE-2025-52434)

    * tomcat: Apache Tomcat denial of service (CVE-2025-53506)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Oracle Linux 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the ELSA-2025-14178 advisory.

    - Resolves:
      tomcat: http/2 'MadeYouReset' DoS attack through HTTP/2 control frames (CVE-2025-48989)
    - Resolves:
      tomcat: Apache Commons FileUpload DOS via part headers (CVE-2025-48976)
    - Resolves:
      tomcat: Dos in multipart upload (CVE-2025-48988)
    - Resolves:
      tomcat: Security constraint bypass for pre/post-resources (CVE-2025-49125)
    - Resolves:
      tomcat: Denial of service (CVE-2025-52434)
    - Resolves:
      tomcat: Denial of service (CVE-2025-52520)

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote AlmaLinux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the ALSA-2025:14177 advisory.

    * tomcat: Apache Tomcat DoS in multipart upload (CVE-2025-48988)
      * tomcat: Apache Tomcat: Security constraint bypass for pre/post-resources (CVE-2025-49125)
      * apache-commons-fileupload: Apache Commons FileUpload DoS via part headers (CVE-2025-48976)
      * tomcat: http/2 MadeYouReset DoS attack through HTTP/2 control frames (CVE-2025-48989)
      * tomcat: Apache Tomcat denial of service (CVE-2025-52520)
      * tomcat: Apache Tomcat denial of service (CVE-2025-52434)
      * tomcat: Apache Tomcat denial of service (CVE-2025-53506)

Tenable has extracted the preceding description block directly from the AlmaLinux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2025:14178 advisory.

    Tomcat is the servlet container that is used in the official Reference Implementation for the Java Servlet     and JavaServer Pages technologies. The Java Servlet and JavaServer Pages specifications are developed by     Sun under the Java Community Process.  Tomcat is developed in an open and participatory environment and     released under the Apache Software License version 2.0. Tomcat is intended to be a collaboration of the     best-of-breed developers from around the world.

    Security Fix(es):

    * tomcat: Apache Tomcat DoS in multipart upload (CVE-2025-48988)

    * tomcat: Apache Tomcat: Security constraint bypass for pre/post-resources (CVE-2025-49125)

    * apache-commons-fileupload: Apache Commons FileUpload DoS via part headers (CVE-2025-48976)

    * tomcat: http/2 MadeYouReset DoS attack through HTTP/2 control frames (CVE-2025-48989)

    * tomcat: Apache Tomcat denial of service (CVE-2025-52520)

    * tomcat: Apache Tomcat denial of service (CVE-2025-52434)

    * tomcat: Apache Tomcat denial of service (CVE-2025-53506)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

因此，该软件受到 ALAS2023-2025-1094 公告中提及的多个漏洞影响。

    使用 APR/Native 连接器时Apache Tomcat 中存在具有错误同步的不当同步即“争用条件”漏洞的并发执行。这对于客户端发起的 HTTP/2 连接关闭尤其明显。

    此问题影响 Apache Tomcat版本 9.0.0.M1 到 9.0.106。

    建议用户升级到修复了此问题的版本 9.0.107。(CVE-2025-52434)

    对于分段上传某些不太可能的配置Apache Tomcat 中存在一个整数溢出漏洞可通过绕过大小限制导致 DoS。

    此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.8、10.1.0-M1 至 10.1.42、9.0.0.M1 至 9.0.106。

    建议用户升级到已修复此问题的 11.0.9、10.1.43 或 9.0.107 版本。
    (CVE-2025-52520)

    HTTP/2 客户端未确认减少最大允许并发流的初始设置框架时会在 Apache Tomcat 中出现不受控制的资源消耗漏洞。

    此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.8、10.1.0-M1 至 10.1.42、9.0.0.M1 至 9.0.106。

    建议用户升级到已修复此问题的 11.0.9、10.1.43 或 9.0.107 版本。
    (CVE-2025-53506)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7/8/9 主机上安装的多个程序包受到 RHSA-2025:11695 公告中提及的多个漏洞影响。

    Red Hat JBoss Web Server 是一组用于托管 Java Web 应用程序的完全集成且经过认证的组件。它由 Apache Tomcat Servlet 容器、JBoss HTTP Connector (mod_cluster)、Apache Tomcat 的 PicketLink Vault 扩展以及 Tomcat Native 库组成。

    此 Red Hat JBoss Web Server 5.8.5 版本是 Red Hat JBoss Web Server 5.8.4 的替代版本。
    此版本包括缺陷补丁、增强和组件升级，详情请参阅“参考”部分链接的版本说明。

    安全修复：

    * tomcat分段上传中的 Apache Tomcat DoS [jws-5] (CVE-2025-48988)
    * tomcat-catalinaApache Tomcatpre/post-resources 的安全限制绕过 [jws-5] (CVE-2025-49125)
    * tomcat通过部件标头实现的 Apache Commons FileUpload DoS [jws-5] (CVE-2025-48976)
    * jws5-tomcatApache Tomcat 拒绝服务 [jws-5] (CVE-2025-52520)
    * jws5-tomcatApache Tomcat 拒绝服务 [jws-5] (CVE-2025-52434)
    * jws5-tomcatApache Tomcat 拒绝服务 [jws-5] (CVE-2025-53506)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:14177 公告中提及的多个漏洞的影响。

    Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。

    安全修复：

    * tomcat分段上传中的 Apache Tomcat DoS (CVE-2025-48988)

    * tomcatApache Tomcat前置/后置资源的安全限制绕过 (CVE-2025-49125)

    * apache-commons-fileupload通过部件标头导致的 Apache Commons FileUpload DoS (CVE-2025-48976)

    * tomcat通过 HTTP/2 控制框架进行的 http/2madeYouReset DoS 攻击CVE-2025-48989

    * tomcatApache Tomcat 拒绝服务 (CVE-2025-52520)

    * tomcatApache Tomcat 拒绝服务 (CVE-2025-52434)

    * tomcatApache Tomcat 拒绝服务 (CVE-2025-53506)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 10 主机上安装的多个程序包受到 ELSA-2025-14179 公告中提及的多个漏洞影响。

    - tomcat分段上传中的 Apache Tomcat DoS (CVE-2025-48988)
    - tomcatApache Tomcat前置/后置资源的安全限制绕过 (CVE-2025-49125)
    - apache-commons-fileupload通过部件标头导致的 Apache Commons FileUpload DoS (CVE-2025-48976)
    - tomcat通过 HTTP/2 控制框架进行的 http/2 “MadeYouReset”DoS 攻击 (CVE-2025-48989)
    - tomcatApache Tomcat 拒绝服务 (CVE-2025-52520)

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 9 主机上存在安装的程序包该程序包受到 ALSA-2025:14181 公告中提及的多个漏洞的影响。

    * tomcat分段上传中的 Apache Tomcat DoS (CVE-2025-48988)
      * tomcatApache Tomcat前置/后置资源的安全限制绕过 (CVE-2025-49125)
      * apache-commons-fileupload通过部件标头导致的 Apache Commons FileUpload DoS (CVE-2025-48976)
      * tomcat通过 HTTP/2 控制框架进行的 http/2madeYouReset DoS 攻击CVE-2025-48989
      * tomcatApache Tomcat 拒绝服务 (CVE-2025-52520)
      * tomcatApache Tomcat 拒绝服务 (CVE-2025-52434)
      * tomcatApache Tomcat 拒绝服务 (CVE-2025-53506)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 10 主机上安装的程序包受到 RHSA-2025:14179 公告中提及的多个漏洞影响。

    Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。

    安全修复：

    * tomcat分段上传中的 Apache Tomcat DoS (CVE-2025-48988)

    * tomcatApache Tomcat前置/后置资源的安全限制绕过 (CVE-2025-49125)

    * apache-commons-fileupload通过部件标头导致的 Apache Commons FileUpload DoS (CVE-2025-48976)

    * tomcat通过 HTTP/2 控制框架进行的 http/2madeYouReset DoS 攻击CVE-2025-48989

    * tomcatApache Tomcat 拒绝服务 (CVE-2025-52520)

    * tomcatApache Tomcat 拒绝服务 (CVE-2025-53506)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1093 公告中提及的多个漏洞影响。

    对于分段上传某些不太可能的配置Apache Tomcat 中存在一个整数溢出漏洞可通过绕过大小限制导致 DoS。

    此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.8、10.1.0-M1 至 10.1.42、9.0.0.M1 至 9.0.106。

    建议用户升级到已修复此问题的 11.0.9、10.1.43 或 9.0.107 版本。
    (CVE-2025-52520)

    HTTP/2 客户端未确认减少最大允许并发流的初始设置框架时会在 Apache Tomcat 中出现不受控制的资源消耗漏洞。

    此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.8、10.1.0-M1 至 10.1.42、9.0.0.M1 至 9.0.106。

    建议用户升级到已修复此问题的 11.0.9、10.1.43 或 9.0.107 版本。
    (CVE-2025-53506)

    Apache Tomcat 中通过重写阀造成的会话固定漏洞。

    此问题会影响 Apache Tomcat 11.0.0-M1 到 11.0.7、10.1.0-M1 到 10.1.41、 9.0.0.M1 到 9.0.105。较旧的 EOL 版本也可能受到影响。

    建议用户升级到已修复此问题的 11.0.8、10.1.42 或 9.0.106 版本。
    (CVE-2025-55668)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
243501	Amazon Linux 2023 : tomcat10、tomcat10-admin-webapps、tomcat10-el-5.0-api (ALAS2023-2025-1093)	Nessus	Amazon Linux Local Security Checks	2025/8/4	2025/9/11	high
253059	RHEL 10: tomcat (RHSA-2025:14179)	Nessus	Red Hat Local Security Checks	2025/8/20	2025/8/20	high
242005	FreeBSD : Apache Tomcat -- Multiple Vulnerabilities (ef87346f-5dd0-11f0-beb2-ac5afc632ba3)	Nessus	FreeBSD Local Security Checks	2025/7/11	2025/7/11	high
249093	SUSE SLES12 Security Update : tomcat (SUSE-SU-2025:02745-1)	Nessus	SuSE Local Security Checks	2025/8/12	2025/8/12	high
253049	RHEL 8 : tomcat (RHSA-2025:14182)	Nessus	Red Hat Local Security Checks	2025/8/20	2025/8/20	high
253061	RHEL 9 : tomcat (RHSA-2025:14180)	Nessus	Red Hat Local Security Checks	2025/8/20	2025/8/20	high
253513	Oracle Linux 10 : tomcat9 (ELSA-2025-14178)	Nessus	Oracle Linux Local Security Checks	2025/8/21	2025/8/21	high
253518	AlmaLinux 8 : tomcat (ALSA-2025:14177)	Nessus	Alma Linux Local Security Checks	2025/8/21	2025/8/21	high
253047	RHEL 10 : tomcat9 (RHSA-2025:14178)	Nessus	Red Hat Local Security Checks	2025/8/20	2025/8/20	high
243472	Amazon Linux 2023：tomcat9、tomcat9-admin-webapps、tomcat9-el-3.0-api (ALAS2023-2025-1094)	Nessus	Amazon Linux Local Security Checks	2025/8/4	2025/8/4	high
242932	RHEL 7/8/9：Red Hat JBoss Web Server 5.8.5 (RHSA-2025:11695)	Nessus	Red Hat Local Security Checks	2025/7/28	2025/7/28	high
253060	RHEL 8：tomcat (RHSA-2025:14177)	Nessus	Red Hat Local Security Checks	2025/8/20	2025/8/20	high
253655	Oracle Linux 10：tomcat (ELSA-2025-14179)	Nessus	Oracle Linux Local Security Checks	2025/8/22	2025/8/22	high
253668	AlmaLinux 9tomcat (ALSA-2025:14181)	Nessus	Alma Linux Local Security Checks	2025/8/22	2025/8/22	high
253059	RHEL 10：tomcat (RHSA-2025:14179)	Nessus	Red Hat Local Security Checks	2025/8/20	2025/8/20	high
243501	Amazon Linux 2023：tomcat10、tomcat10-admin-webapps、tomcat10-el-5.0-api (ALAS2023-2025-1093)	Nessus	Amazon Linux Local Security Checks	2025/8/4	2025/9/11	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high