したがって、ALAS2023-2023-238 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Apache Tomcat 11.0.0-M2 から 11.0.0-M4、10.1.5 から 10.1.7、9.0.71 から 9.0.73、8.5.85 から 8.5.87に対する CVE-2023-24998の修正は不完全でした。クエリ文字列パラメーターを使用して maxParameterCount に到達できるようにデフォルト以外の HTTP コネクター設定が使用され、クエリ文字列で正確に maxParameterCount パラメーターを提供するリクエストが送信された場合、サービス拒否の可能性があり、アップロードされたリクエスト部分の制限をバイパスする可能性があります。(CVE-2023-28709)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : tomcat9, tomcat9-admin-webapps, tomcat9-el-3.0-api (ALAS2023-2023-238)

high Nessus プラグイン ID 178600

バージョン 1.0