RequestUtil.javaにディレクトリトラバーサルの脆弱性が発見されました。このため、リモートの認証されたユーザーが意図されたSecurityManager制限をバイパスし、/を通じて親ディレクトリをリストに記載することが可能です。
getResource、getResourceAsStream、またはgetResourcePaths呼び出しのWebアプリケーションによって使用されるパス名の (スラッシュ ドット ドット) 。
(CVE-2015-5174)

セッション固定の脆弱性が発見されました。これにより、リモートの攻撃者が、同じWebアプリケーションの複数のバージョンの展開に異なるセッション設定が使用される場合に、意図されないリクエストに対してrequestedSessionSSLフィールドを使用することを利用して、Webセッションをハイジャックできる可能性があります。 (CVE-2015-5346)

表現言語リゾルバーが権限のあるコードセクション内で表現を評価していたことが見つかりました。悪意のあるWebアプリケーションがこの欠陥を利用し、セキュリティマネージャー保護をバイパスする可能性があります。 (CVE-2014-7810)

検出

Amazon Linux AMI：tomcat7 (ALAS-2016-657)

high Nessus プラグイン ID 89838

変更ログが見つかりません