TomcatサーブレットとJSPエンジンに、2つの問題が発見されました。

  - CVE-2017-7674Rick Riemer氏は、クロスオリジンリソース共有フィルターが、異なる応答の可能性を示すVaryヘッダーを追加しないことを発見しました。これによって、キャッシュポイズニングが発生する可能性がありました。

  - CVE-2017-7675（stretchのみ）Markus Dorschmidt氏は、HTTP/2の実装が一部のセキュリティチェックをバイパスすることを検出しました。これにより、攻撃者が特別に細工したURLを使用してディレクトリトラバーサル攻撃を実行する可能性があります。

検出

DebianDSA-3974-1：tomcat8 - セキュリティ更新

high Nessus プラグイン ID 103259

変更ログが見つかりません