リモートホストにインストールされている tomcat のバージョンは 9.0.115-1 より前です。したがって、ALAS2TOMCAT9-2026-024 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    不適切な入力検証の脆弱性。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.14 まで、10.1.0-M1 から 10.1.49 まで、9.0.0-M1 から 9.0.112 まで。次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。古い EOL バージョンは影響を受けません。Tomcat は、SNI 拡張を通じて提供されたホスト名が HTTP ホストヘッダーフィールドで指定されたホスト名と一致するかどうかを検証しませんでした。Tomcat が複数の仮想ホストで構成され、そのうちの 1 つの TLS 設定でクライアント証明書認証を要求せず、別のホストでは要求する場合、クライアントは SNI 拡張と HTTP ホストヘッダーフィールドに異なるホスト名を送信することで、クライアント証明書認証をバイパスする可能性がありました。この脆弱性は、クライアント証明書認証がコネクタでのみ適用されている場合に限り影響します。ウェブアプリケーションでクライアント証明書認証が適用されている場合、この脆弱性は影響しません。ユーザーには、この問題を修正したバージョンである 11.0.15 以降、10.1.50 以降、または 9.0.113 以降へのアップグレードをお勧めします。(CVE-2025-66614)

    Tomcat に欠陥が見つかりました。不適切な入力検証の脆弱性により、攻撃者がセキュリティ制約をバイパスする可能性があります。具体的には、URIへのHEADリクエストを許可するがGETリクエストを拒否するようにセキュリティ制約が設定されている場合、HTTP/0.9 プロトコルを使用する無効な形式または仕様が無効なHEADリクエストが、意図された拒否ルールをバイパスし、攻撃者がアクセスすべきリソースにアクセスできる可能性があります。保護されました。
    (CVE-2026-24733)

    Apache Tomcat Native、Apache Tomcat の不適切な入力検証の脆弱性。

    OCSP レスポンダを使用している場合、Tomcat Native (および Tomcat Native コードの Tomcat FFM ポート) は OCSP 応答の検証または新規性チェックを完了しないため、証明書失効がバイパスされる可能性があります。

    この問題は Apache Tomcat Native に影響します 1.3.0 から 1.3.4] 、 2.0.0 から 2.0.11、 Apache Tomcat11.0.0-M1 から 11.0.17、10.1.0-M7 から 10.1.51、 9.0.83 から 9.0.114。

    次のバージョンは、CVE の作成時に EOL でしたが、影響を受けることが知られています から 1.1.231.1.34、から 1.2.01.2.39。古い EOL バージョンは影響を受けません。

    Apache Tomcat Native ユーザーは、問題が修正されたバージョン 1.3.5 以降または 2.0.12 以降にアップグレードすることが推奨されます。

    Apache Tomcat ユーザーは、問題が修正されたバージョン 11.0.18 以降、10.1.52 以降、または 9.0.115 以降にアップグレードすることが推奨されます。(CVE-2026-24734)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2tomcat、 --advisory ALAS2TOMCAT9-2026-024ALASTOMCAT9-2026-024

medium Nessus プラグイン ID 303081

バージョン 1.2