リモートホストにインストールされている Tomcat のバージョンは 10.0.21より前です。したがって、fixed_in_apache_tomcat_10.0.21_security-10 のアドバイザリに記載されている脆弱性の影響を受けます。

  - EncryptInterceptor の Apache Tomcat 10.1.0-M1 から 10.1.0-M14、10.0.0-M1 から 10.0.20、9.0.13から 9.0.62 および 8.5.38 から 8.5.78 のドキュメントでは、Tomcat のクラスター化を信頼できないネットワーク上で有効にできると誤って記述されていました。これは誤りでした。EncryptInterceptor は機密性と整合性の保護を提供しますが、信頼できないネットワークでの実行に関連するすべてのリスク、特に DoS のリスクに対して保護しません。(CVE-2022-29885)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Apache Tomcat 10.0.0.M1 < 10.0.21

high Nessus プラグイン ID 160893

バージョン 1.12