Apache Tomcat 9.0.0.M1< 9.0.43の複数の脆弱性

high Nessus プラグイン ID 147164

Language:

概要

リモートの Apache Tomcat サーバーは、複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされている Tomcat のバージョンは 9.0.43より前です。したがって、fixed_in_apache_tomcat_9.0.43_security-9 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- CVE-2020-9484 の修正が不完全でした。Apache Tomcat 10.0.0-M1～10.0.0、9.0.0.M1～9.0.41、8.5.0～8.5.61または7.0.0～7.0.107を使用される可能性が非常に低い構成エッジケースと共に使用する場合、Tomcatインスタンスは依然としてCVE-2020-9494に対して脆弱でした。注意: 以前に公開された CVE-2020-9484 の前提条件と以前に公開された CVE-2020-9484 の緩和策の両方が、この問題にも適用されます。(CVE-2021-25329)

- 新しいh2c接続リクエストに応答する際、Apache Tomcatバージョン10.0.0-M1から10.0.0、9.0.0.M1から9.0.41、および8.5.0から8.5.61は、あるリクエストからのリクエストヘッダー、および限られた量のリクエスト本文を複写する可能性があります。つまり、ユーザーAとユーザーBの両方が、ユーザーAのリクエストの結果を確認する可能性があるということです。
(CVE-2021-25122)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。