したがって、ALAS2023-2025-1065 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    不十分な制限でマルチパートヘッダーに対するリソース割り当てにより、Apache Commons FileUpload で DoS 脆弱性が発生しました。

    この問題は、1.0 から 1.6 まで、2.0.0-M1 から 2.0.0-M4 までの Apache Commons FileUpload に影響を与えます。

    ユーザーには、この問題を修正したバージョンであるバージョン 1.6 または 2.0.0-M4 へのアップグレードをお勧めします。(CVE-2025-48976)

    Apache Tomcat での制限なしまたはスロットリングなしのリソース割り当ての脆弱性。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.7 まで、10.1.0-M1 から 10.1.41 まで、9.0.0.M1 から 9.0.105 まで。ユーザーには、この問題を修正したバージョン 11.0.8、10.1.42、9.0.106 へのアップグレードをお勧めします。
    (CVE-2025-48988)

    Apache Tomcat で代替パスまたはチャネルを使用した認証バイパスの脆弱性。ウェブアプリケーションの root 以外でマウントされた PreResources または PostResources を使用すると、予期しないパス経由でこれらのリソースにアクセスすることが可能でした。そのパスは、予想されるパスと同じセキュリティ制約によって保護されない可能性があり、それらのセキュリティ制約がバイパスされる可能性があります。

    この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.7 まで、10.1.0-M1 から 10.1.41 まで、9.0.0.M1 から 9.0.105 まで。

    ユーザーには、この問題を修正したバージョン 11.0.8、10.1.42、9.0.106 へのアップグレードをお勧めします。
    (CVE-2025-49125)

    Apache Tomcat でのリライトバルブを介したセッション固定の脆弱性。

    この問題は、Apache Tomcat に影響を与えます11.0.0-M1 から 11.0.7、10.1.0-M1 から 10.1.41、 9.0.0.M1 から 9.0.105.Older まで、EOL バージョンも影響を受ける可能性があります。

    ユーザーには、この問題を修正したバージョン 11.0.8、10.1.42、9.0.106 へのアップグレードをお勧めします。
    (CVE-2025-55668)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : tomcat9、tomcat9-admin-webapps、tomcat9-el-3.0-api (ALAS2023-2025-1065)

high Nessus プラグイン ID 241733

バージョン 1.3

バージョン 1.2

バージョン 1.1

バージョン 1.3 Aug 28, 2025, 7:14 PM CVE (set "CVE" coverage to "CVE-2025-48976,CVE-2025-48988,CVE-2025-49125,CVE-2025-55668") CVSS metrics ("CVSSv2 score" set to 7.8) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N") CVSSv2 score source (changed from "CVE-2025-49125" to "CVE-2025-55668") CVSSv3 score source (set to "CVE-2025-49125") Plugin metadata Plugin Feed: 202508281914
バージョン 1.2 Jul 15, 2025, 2:39 AM Plugin metadata Plugin Feed: 202507150239
バージョン 1.1 Jul 11, 2025, 4:37 AM New Plugin Feed: 202507110437