リモートの Debian 11 ホストには、dsa-5381 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - rejectIllegalHeader を false (8.5.x のみでデフォルト) に設定して無効な HTTP ヘッダーを無視するように Apache Tomcat 8.5.0～8.5.82、9.0.0-M1～9.0.67、10.0.0-M1～10.0.26、または 10.1.0-M1～10.1.0 が構成された場合、Tomcat は無効な Content-Length ヘッダーを含むリクエストを拒否しませんでした。これにより、無効なヘッダーでリクエストの拒否に失敗したリバースプロキシの背後に Tomcat が配置されている場合、リクエストスマグリング攻撃を引き起こす可能性があります。(CVE-2022-42252)

  Apache Tomcat 8.5.83、9.0.40 から9.0.68、および 10.1.0-M1 から 10.1.1の JsonErrorReportValve は、タイプ、メッセージ、または説明の値をエスケープしませんでした。状況によっては、これらはユーザー指定のデータから構築されるため、ユーザーが JSON 出力を無効化または操作する値を提供する可能性がありました。(CVE-2022-45143)

  - http に設定された X-Forwarded-Proto ヘッダーを含む HTTP を介したリバースプロキシから受信したリクエストで RemoteIpFilter を使用する場合、Apache Tomcat 11.0.0-M1 から 11.0.0.-M2、10.1.0-M1 から 10.1.5、9.0.0-M1 から 9.0.71および 8.5.0から 8.5.85が作成したセッションクッキーはセキュア属性を含んでいませんでした。これにより、ユーザーエージェントが安全でないチャネルを介してセッションクッキーを送信する可能性があります。(CVE-2023-28708)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DSA-5381-1: tomcat9 - セキュリティ更新

high Nessus プラグイン ID 173947

バージョン 1.1

バージョン 1.0

バージョン 1.1 May 25, 2023, 5:09 PM IAVM reference Plugin Feed: 202305251709
バージョン 1.0 Apr 6, 2023, 6:58 PM New Plugin Feed: 202304061858