Apache Software Foundation による報告：

サーブレットのアノテーションによって定義されるセキュリティ制約は、サーブレットが読み込まれた後にのみ適用されます。このように定義されたセキュリティ制約は、URLパターンとそのポイント以下のURLに適用されるため、サーブレットのロード順序によっては、セキュリティ制約が適用されないこともありました。これにより、アクセス権のないユーザーにリソースが開示される可能性がありました。

セキュリティ制約定義の一部として使用された場合、コンテキストルートに正確にマップされる''（空文字列）のURLパターンが正しく処理されませんでした。これにより、制約が無視されました。そのため、権限のないユーザーが、保護されていたはずのWebアプリケーションリソースにアクセスできる可能性がありました。空の文字列のURLパターンを持つセキュリティ制約のみが影響を受けます。

検出

FreeBSD: tomcat -- セキュリティ制約の無視または適用の遅れ（55c4233e-1844-11e8-a712-0025908740c2）

medium Nessus プラグイン ID 107043

変更ログが見つかりません