リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2023:1672-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - http に設定された X-Forwarded-Proto ヘッダーを含む HTTP を介したリバースプロキシから受信したリクエストで RemoteIpFilter を使用する場合、Apache Tomcat 11.0.0-M1 から 11.0.0.-M2、10.1.0-M1 から 10.1.5、9.0.0-M1 から 9.0.71および 8.5.0から 8.5.85が作成したセッションクッキーはセキュア属性を含んでいませんでした。これにより、ユーザーエージェントが安全でないチャネルを介してセッションクッキーを送信する可能性があります。(CVE-2023-28708)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES12 セキュリティ更新プログラム: tomcat (SUSE-SU-2023:1672-1)

medium Nessus プラグイン ID 173697

バージョン 1.3