リモートの Debian 10 ホストには、dla-3580 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Tomcat コネクタの mod_jk コンポーネントは、設定に JkOptions +ForwardDirectories が含まれていているにも関わらず、プロキシされる可能性のあるすべてのリクエストに対して明示的なマウントを提供していないなどの特定の状況で、mod_jk は暗黙のマッピングを使用し、リクエストを最初に定義されたワーカーにマッピングする可能性がありました。このような暗黙のマッピングにより、ステータスワーカーが意図しない形で公開されたり、httpd で設定されたセキュリティ制約のバイパスが発生する可能性があります。JK 1.2.49 の時点で、暗黙的なマッピング機能は削除されており、すべてのマッピングは明示的な設定を介して行われる必要があります。mod_jk のみがこの問題の影響を受けます。ISAPI リダイレクタは影響を受けません。この問題は次のものに影響を与えます。Apache Tomcat Connectors (mod_jk のみ):
    1.2.0 ～ 1.2.48。ユーザーには、この問題を修正したバージョンであるバージョン 1.2.49 へのアップグレードをお勧めします。
    (CVE-2023-41081)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian DLA-3580-1 : libapache-mod-jk - LTS セキュリティ更新

high Nessus プラグイン ID 181836

バージョン 1.0