Apache Tomcat 7.0.x < 7.0.78/8.0.x < 8.0.44/8.5.x < 8.5.15/9.0.x < 9.0.0.M21のリモートのエラーページ操作

high Nessus プラグイン ID 100681

Language:

概要

リモートのApache Tomcatサーバーは、リモートエラーページ操作の脆弱性の影響を受けます。

説明

自己報告されたバージョン番号によると、リモートホストで実行されているApache Tomcatサービスは、7.0.78より前の7.0.x、8.0.44より前の8.0.x、8.5.15より前の8.5.x、または9.0.0.M21より前の9.0.xです。したがって、Javaサーブレット仕様に準拠していないエラーページレポートのメカニズム実装にある欠陥の影響を受け、エラーが発生したときに使われたHTTPリクエストメソッドにかかわらず、静的エラーページをHTTP GETリクエストとして処理するよう要求します。元のリクエストとデフォルトサーブレットの設定によっては、認証されていないリモートの攻撃者がこの問題を悪用し、カスタムエラーページを置き換えたり削除したりする可能性があります。Nessusはこの問題を利用しておらず、代わりにアプリケーションの自己報告バージョン番号にのみ依存しています。