远程主机上安装的 Apache Tomcat 版本为低于 8.5.32 的 8.5.x。因此，该服务器受到多个漏洞的影响：

 - 由于缺少主机名称验证，WebSocket 客户端中因而存在缺陷

 - NIO/NIO2 连接器中存在缺陷，这是由于未正确处理可导致重复使用用户会话的关闭所致

 - CORS 过滤器中存在缺陷，这是由于不安全的默认值所致

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Apache Tomcat 版本为低于 9.0.10 的 9.0.x。因此，该服务器受到多个漏洞的影响：

 - 由于缺少主机名称验证，WebSocket 客户端中因而存在缺陷

 - NIO/NIO2 连接器中存在缺陷，这是由于未正确处理可导致重复使用用户会话的关闭所致

 - CORS 过滤器中存在缺陷，这是由于不安全的默认值所致

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

Apache Tomcat 中提供的 CORS 筛选器默认设置是不安全的，并为所有源启用'supportsCredentials'。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大多数用户不会受到此问题影响。(CVE-2018-8014) 在具有增补字符的 UTF-8 解码器中错误处理溢出，可导致解析器无限循环，从而导致拒绝服务。受影响的版本：Apache Tomcat 8.5.0 至 8.5.30。(CVE-2018-1336) 当使用有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。受影响的版本：Apache Tomcat 8.5.0 至 8.5.31。(CVE-2018-8034) 连接闭包追踪缺陷可导致在新连接中重用用户会话。受影响的版本：Apache Tomcat 8.5.5 至 8.5.31。(CVE-2018-8037)

远程主机上安装的 Tomcat 版本低于 9.0.10。因此，该应用程序受到 fixed_in_apache_tomcat_9.0.10_security-9 公告中提及的多个漏洞的影响。

  - 当使用有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。受影响的版本：Apache Tomcat 9.0.0.M1 至 9.0.9、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52 和 7.0.35 至 7.0.88。(CVE-2018-8034)

  - 如果应用程序在容器触发异步超时的同时完成了异步请求，则存在争用条件，可能导致用户看到针对其他用户的响应。NIO 和 NIO2 连接器中存在另一个问题，当应用程序完成异步请求同时容器触发超时时，该问题未正确跟踪连接的关闭。这也可能导致用户看到针对其他用户的响应。
    受影响的版本：Apache Tomcat 9.0.0.M9 至 9.0.9，以及 8.5.5 至 8.5.31。(CVE-2018-8037)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Siebel CRM 版本受到 2019 年 10 月 CPU 公告中提及的漏洞影响。

  - Oracle Siebel CRM 的 Siebel UI Framework 产品中存在漏洞（组件：Customizable Prod/Configurator (Apache Tomcat)）。支持的版本中受影响的是 19.7 和较早版本。难以利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而危害 Siebel UI Framework。成功攻击此漏洞可导致在未经授权的情况下访问重要数据，或完整访问所有可供访问的 Siebel UI Framework 数据。(CVE-2018-8037)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

pki-deps:10.6 模块的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。公钥基础结构 (PKI) Deps 模块含有 Red Hat 证书系统的 pki-core 模块依赖项所需的基础程序包。安全修复：* tomcat：因不当处理 NIO/NIO2 连接器的关闭，用户会话因而混乱 (CVE-2018-8037) * tomcat：在 CORS 筛选器中不安全的默认值，针对所有源启动“supportsCredentials”(CVE-2018-8014) * tomcat：开启默认 servlet 中的重定向 (CVE-2018-11784) * tomcat：WebSocket 客户端中缺少主机名验证 (CVE-2018-8034) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

在 Tomcat servlet 和 JSP 引擎中发现多个问题。这些问题可能会造成未经授权访问受保护的资源、拒绝服务或信息泄露。

来自 Red Hat 安全公告 2019:1529： pki-deps:10.6 模块的更新现可用于 Red Hat Enterprise Linux 8。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 公钥基础结构 (PKI) Deps 模块含有 Red Hat 证书系统的 pki-core 模块依赖项所需的基础程序包。 安全补丁： * tomcat：由于 NIO/NIO2 连接器中错误处理的关闭，可能会混合用户会话 (CVE-2018-8037) * tomcat：CORS 筛选器中的不安全默认值对所有源启用 'supportsCredentials' (CVE-2018-8014) * tomcat：默认 servlet 中的开放重定向 (CVE-2018-11784) * tomcat：WebSocket 客户端中缺少主机名验证 (CVE-2018-8034) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 1529 公告中提及的多个漏洞的影响。

  - tomcat：默认 servlet 中的开放重定向 (CVE-2018-11784)

  - tomcat：CORS 筛选器中的不安全默认值对所有源启用 'supportsCredentials' (CVE-2018-8014)

  - tomcat：WebSocket 客户端中缺少主机名验证 (CVE-2018-8034)

  - tomcat：由于 NIO/NIO2 连接器中错误处理的关闭，可能会混合用户会话 (CVE-2018-8037)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 8.5.32。因此，它受到 fixed_in_apache_tomcat_8.5.32_security-8 公告中提及的多个漏洞的影响。

  - 如果应用程序在容器触发异步超时的同时完成了异步请求，则存在争用条件，可能导致用户看到针对其他用户的响应。NIO 和 NIO2 连接器中存在另一个问题，当应用程序完成异步请求同时容器触发超时时，该问题未正确跟踪连接的关闭。这也可能导致用户看到针对其他用户的响应。
    受影响的版本：Apache Tomcat 9.0.0.M9 至 9.0.9、8.5.5 至 8.5.31。(CVE-2018-8037)

  - 当使用有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。受影响的版本：Apache Tomcat 9.0.0.M1 至 9.0.9、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52 以及 7.0.35 至 7.0.88。(CVE-2018-8034)

  - Apache Tomcat 9.0.0.M1 至 9.0.8、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52、7.0.41 至 7.0.88 中提供的 CORS 筛选器默认设置不安全，并会为所有来源启用“supportsCredentials”。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大部分用户不会受到此问题的影响。(CVE-2018-8014)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新现在可用于 RHEL 6 的 Red Hat JBoss Web Server 5.0 和 RHEL 7 的 Red Hat JBoss Web Server 5.0。Red Hat 产品安全团队将此版本评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Web Server 是一组用于托管 Java Web 应用程序的完全集成且经过认证的组件。它由 Apache Tomcat Servlet 容器、JBoss HTTP Connector (mod_cluster)、Apache Tomcat 的 PicketLink Vault 扩展以及 Tomcat Native 库组成。此 Red Hat JBoss Web Server 5.0 Service Pack 1 版本可替换 Red Hat JBoss Web Server 5.0，并包含多项缺陷修复，详情请参阅“参考”部分中链接的版本说明文档。安全修复：* tomcat：信息泄露 (CVE-2018-8037) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
112296	Apache Tomcat 8.5.0 < 8.5.32 多个漏洞	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
112290	Apache Tomcat 9.0.0.M1 < 9.0.10 多个漏洞	Web App Scanning	Component Vulnerability	2018/11/5	2025/6/17	critical
111611	Amazon Linux AMI : tomcat8 (ALAS-2018-1056)	Nessus	Amazon Linux Local Security Checks	2018/8/10	2024/8/23	critical
176310	Apache Tomcat 9.0.0.M1 < 9.0.10 多个漏洞	Nessus	Web Servers	2023/5/24	2024/5/23	high
212397	Oracle Siebel Server（2019 年 10 月 CPU）	Nessus	Misc.	2024/12/11	2025/2/19	medium
126030	RHEL 8 : pki-deps:10.6 (RHSA-2019:1529)	Nessus	Red Hat Local Security Checks	2019/6/19	2025/3/16	critical
112185	Debian DSA-4281-1：tomcat8 - 安全更新	Nessus	Debian Local Security Checks	2018/8/30	2024/8/13	high
127594	Oracle Linux 8 : pki-deps:10.6 (ELSA-2019-1529)	Nessus	Oracle Linux Local Security Checks	2019/8/12	2024/11/1	critical
145683	CentOS 8：pki-deps: 10.6 (CESA-2019: 1529)	Nessus	CentOS Local Security Checks	2021/1/29	2023/2/8	critical
111068	Apache Tomcat 8.5.5 < 8.5.32 多个漏洞	Nessus	Web Servers	2018/7/13	2024/5/23	critical
117912	RHEL 6 / 7 : Red Hat JBoss Web Server 5.0 Service Pack 1 (RHSA-2018:2868)	Nessus	Red Hat Local Security Checks	2018/10/4	2025/4/29	medium

检测

插件搜索

critical

critical

critical

high

medium

critical

high

critical

critical

critical

medium