リモートホストにインストールされている Tomcat のバージョンは 10.1.31より前です。したがって、fixed_in_apache_tomcat_10.1.31_security-10 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Apache Tomcat での不適切なオブジェクトリサイクリングおよび再利用の脆弱性。HTTP/2 リクエストで使用されるリクエストと応答の不適切なリサイクルにより、ユーザー間でリクエストや応答が取り違えられる可能性があります。この問題は、11.0.0-M23 から 11.0.0-M26 まで、10.1.27 から 10.1.30 まで、9.0.92 から 9.0.95 までの Apache Tomcat に影響します。ユーザーには、この問題を修正したバージョン 11.0.0、10.1.31、または 9.0.96 へのアップグレードをお勧めします。(CVE-2024-52317)

  - Apache Tomcat の未チェックのエラー状態の脆弱性。Tomcat がカスタム Jakarta Authentication (旧 JASPIC) ServerAuthContext コンポーネントを使用するように構成され、失敗を示す HTTP ステータスを明示的に設定せずに認証プロセス中に例外をスローする可能性がある場合でも、認証が失敗しない可能性があり、ユーザーが認証プロセスをバイパスする可能性があります。このように動作する既知の Jakarta Authentication コンポーネントはありません。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.0-M26 まで、10.1.0-M1 から 10.1.30 まで、9.0.0-M1 から 9.0.95 まで。ユーザーには、この問題を修正したバージョン 11.0.0、10.1.31、または 9.0.96 へのアップグレードをお勧めします。(CVE-2024-52316)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Apache Tomcat 10.1.27< 10.1.31の複数の脆弱性

critical Nessus プラグイン ID 211504

バージョン 1.3

バージョン 1.2

バージョン 1.1

バージョン 1.3 Dec 19, 2024, 3:15 PM IAVM reference Plugin Feed: 202412191515
バージョン 1.2 Nov 22, 2024, 6:54 PM IAVM reference STIG Severity (set to "I") Plugin Feed: 202411221854
バージョン 1.1 Nov 18, 2024, 3:19 PM New Plugin Feed: 202411181519