在 servlet 和 JSP 引擎 Tomcat 中发现了多个漏洞：

- CVE-2011-1184 CVE-2011-5062 CVE-2011-5063 CVE-2011-5064 HTTP Digest Access Authentication 实现对回放攻击执行的对策不充分。

- CVE-2011-2204 在极少的设置中，密码被写入日志文件中。

- CVE-2011-2526 HTTP APR 或 HTTP NIO 连接器中缺少输入审查可导致拒绝服务。

- CVE-2011-3190 某些设置中可伪造 AJP 请求。

- CVE-2011-3375 不正确的请求缓存可导致信息泄露。

- CVE-2011-4858 CVE-2012-0022 此更新添加了针对 Java 哈希表实现中的冲突拒绝服务漏洞的对策，解决了处理大量请求时潜在的拒绝服务。

有关更多信息，请访问

Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。

CVE-2011-3190 和 CVE-2011-2526 描述中提及的 APR (Apache Portable Runtime) 并非指 apr 程序包提供的 APR。它是指 Tomcat 原生库提供的 APR 的实现，Tomcat Native 库支持将 APR 与 Tomcat 一起使用。Scientific Linux 6 未随附此库。此更新为选择通过从其他产品获取 Tomcat Native 库以将 APR 与 Tomcat 一起使用的用户提供补丁。

在 Tomcat 处理 HTTP 摘要式认证的方式中发现多种缺陷。这些缺陷会削弱 Tomcat HTTP 摘要式认证实现，使其受 HTTP BASIC 认证的某些缺陷的影响，例如，允许远程攻击者执行会话重放攻击。(CVE-2011-1184)

在 Coyote (org.apache.coyote.ajp.AjpProcessor) 和 APR (org.apache.coyote.ajp.AjpAprProcessor) Tomcat AJP (Apache JServ Protocol) 连接器处理某些 POST 请求的方式中发现一个缺陷。攻击者可发送特别构建的请求，该请求会导致连接器将消息正文视为新请求。这允许注入任意 AJP 消息，并且可能允许攻击者绕过 Web 应用程序的认证检查并获取他们无法访问的信息的访问权限。当 APR 库不存在时，默认使用 JK (org.apache.jk.server.JkCoyoteHandler) 连接器。JK 连接器不受此缺陷的影响。(CVE-2011-3190)

在 Tomcat MemoryUserDatabase 中发现一个缺陷。使用 JMX 客户端创建新用户时，如果发生运行时异常，用户密码会被记录到 Tomcat 日志文件中。注意：默认情况下，只有管理员可以访问这些日志文件。(CVE-2011-2204)

当使用 HTTP APR 或 NIO（非阻塞 I/O）连接器时，在 Tomcat 处理 sendfile 请求属性的方式中发现一个缺陷。在 Tomcat 实例上运行的恶意 Web 应用程序可以利用此缺陷绕过安全管理器限制，并获取其无法访问的文件的访问权限，或者可能终止 Java 虚拟机 (JVM)。Scientific Linux 6 中默认使用不易受此问题的影响的 HTTP 阻塞 IO (BIO) 连接器。(CVE-2011-2526)

此更新还修复以下缺陷：

- 以前在某些情况下，如果“LANG=fr_FR”或“LANG=fr_FR.UTF-8”设置为环境变量或设置在 64 位 PowerPC 系统上的“/etc/sysconfig/tomcat6”中，Tomcat 可能无法正确启动。通过此更新，当 LANG 设为“fr_FR”或“fr_FR.UTF-8”时，Tomcat 可正常运行。

Tomcat 用户应升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动 Tomcat，才能使此更新生效。

远程 Oracle Linux 6 主机上安装的程序包受到 ELSA-2011-1780 公告中提及的多个漏洞的影响。

    [0:6.0.24-35]
    - 已解决：cve-2011-3190
    - 已解决：cve-2011-2204
    - 已解决：cve-2011-2526
    - 已解决：cve-2011-1184
    - 解决了rhbz 748807 - LANG=fr 时 tomcat6 损坏

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 tomcat6 程序包修复了多种安全问题和三个缺陷，现在可用于针对 Red Hat Enterprise Linux 5 和 6 的 JBoss Enterprise Web Server 1.0.2。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Apache Tomcat 是 servlet 容器。

JBoss Enterprise Web Server 包括 Tomcat Native 库，提供对 Tomcat 的 Apache Portable Runtime (APR) 支持。有关此文本中对 APR 的引用，请参阅 Tomcat Native 实现，而非任何其他 apr 程序包。

此更新修复了 JBPAPP-4873、JBPAPP-6133 和 JBPAPP-6852 缺陷。
它还解决了以下安全问题：

多种缺陷会削弱 Tomcat HTTP DIGEST 认证实现，使其受 HTTP BASIC 认证的某些缺陷的影响，例如允许远程攻击者执行会话重放攻击。（CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、CVE-2011-5064）

在 Coyote (org.apache.coyote.ajp.AjpProcessor) 和 APR (org.apache.coyote.ajp.AjpAprProcessor) Tomcat AJP (Apache JServ Protocol) 连接器处理某些 POST 请求的方式中发现一个缺陷。攻击者可发送特别构建的请求，该请求会导致连接器将消息正文视为新请求。这允许注入任意 AJP 消息，并且可能允许攻击者绕过 Web 应用程序的认证检查并获取他们无法访问的信息的访问权限。当 APR 库不存在时，默认使用 JK (org.apache.jk.server.JkCoyoteHandler) 连接器。JK 连接器不受此缺陷的影响。(CVE-2011-3190)

出现某些错误时，Tomcat 回收包含来自用户请求的数据的对象（例如 IP 地址和 HTTP 标头）的方式中存在一个缺陷。如果用户发送导致记录错误的请求，那么 Tomcat 会将回复返回给下一个含有来自第一个用户的请求的数据的请求（此请求可以由不同的用户发送），从而导致信息泄露。在某些情况下，远程攻击者可利用此缺陷劫持会话。(CVE-2011-3375)

Java hashCode() 方法实现容易遭受可预测哈希冲突的影响。远程攻击者可利用此缺陷，通过发送包含名称映射到同一哈希值的大量参数的 HTTP 请求来导致 Tomcat 使用过量 CPU 时间。此更新引入对每个请求中处理的参数数量的限制以缓解此问题。参数的默认限制为 512，标头的默认限制为 128。可通过设置 org.apache.tomcat.util.http.Parameters.MAX_COUNT 和 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系统属性来更改这些默认值。
(CVE-2011-4858)

Tomcat 未有效处理大量参数和大参数值。远程攻击者可以通过发送包含大量参数或大参数值的 HTTP 请求导致 Tomcat 使用过量 CPU 时间。此更新引入对每个请求中处理的参数和标头的数量的限制以解决此问题。请参阅 CVE-2011-4858 描述以了解关于 org.apache.tomcat.util.http.Parameters.MAX_COUNT 和 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系统属性的信息。
(CVE-2012-0022)

Tomcat MemoryUserDatabase 中存在一个缺陷。使用 JMX 客户端创建新用户时，如果发生运行时异常，用户密码会被记录到 Tomcat 日志文件中。注意：默认情况下，只有管理员可以访问这些日志文件。(CVE-2011-2204)

当使用 HTTP APR 或 NIO（非阻塞 I/O）连接器时，Tomcat 处理 sendfile 请求属性的方式中存在一个缺陷。在 Tomcat 实例上运行的恶意 Web 应用程序可以利用此缺陷绕过安全管理器限制，并获取其无法访问的文件的访问权限，或者可能终止 Java 虚拟机 (JVM)。JBoss Enterprise Web Server 中默认使用 HTTP NIO 连接器。(CVE-2011-2526)

Red Hat 在此感谢 oCERT 报告 CVE-2011-4858，感谢 Apache Tomcat 项目报告 CVE-2011-2526。oCERT 感谢 CVE-2011-4858 的原始报告者 Julian Wälde 和 Alexander Klink。

According to its self-reported version number, the instance of Apache Tomcat 7.x listening on the remote host is prior to 7.0.17. It is, therefore, affected by the following vulnerabilities:

 - An error handling issue exists related to the MemoryUserDatabase that allows user passwords to be disclosed through log files. (CVE-2011-2204)

 - If loaded before other web applications, a malicious web application can potentially access or modify the web.xml, context.xml, and TLD files of other web applications on the system. (CVE-2011-2481)

 - An input validation error exists that allows a local attacker to either bypass security or carry out denial of service attacks when the APR or NIO connectors are enabled. (CVE-2011-2526)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote host is running a version of Mac OS X 10.7 that is older than version 10.7.3.  The newer version contains numerous security-related fixes for the following components :

  - Address Book
  - Apache
  - ATS
  - CFNetwork
 - CoreMedia
 - CoreText
 - CoreUI
 - curl
 - Data Security
 - dovecot
 - filecmds
 - ImageIO
 - Internet Sharing
 - Libinfo
 - libresolv
 - libsecurity
 - OpenGL
 - PHP
 - QuickTime
 - Subversion
 - Time Machine
 - WebDAV Sharing
 - Webmail
 - X11

According to its self-reported version number, the instance of Apache Tomcat 6.0.x listening on the remote host is prior to 6.0.33. It is, therefore, affected by multiple vulnerabilities:

- Several weaknesses were found in the HTTP Digest authentication implementation. The issues are as follows: replay attacks are possible, server nonces are not checked, client nonce counts are not checked, 'quality of protection' (qop) values are not checked, realm values are not checked and the server secret is a hard-coded, known string. The effect of these issues is that Digest authentication is no stronger than Basic authentication. (CVE-2011-1184, CVE-2011-5062, CVE-2011-5063, CVE-2011-5064)

 - An error handling issue exists related to the MemoryUserDatabase that allows user passwords to be disclosed through log files. (CVE-2011-2204)

 - An input validation error exists that allows a local attacker to either bypass security or carry out denial of service attacks when the APR or NIO connectors are enabled. (CVE-2011-2526)

 - A component that Apache Tomcat relies on called 'jsvc' contains an error in that it does not drop capabilities after starting and can allow access to sensitive files owned by the super user. Note this vulnerability only affects Linux operating systems and only when the following are true: jsvc is compiled with libpcap and the '-user' parameter is used. (CVE-2011-2729)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

Versions of Tomcat 6.x earlier than 6.0.33 are potentially affected by multiple vulnerabilities : 

  - An error handling issue exists related to the MemoryUserDatabase that allows user passwords to be disclosed through log files. (CVE-2011-2204)

  - An input validation error exists that allows a local attacker to either bypass security or carry out denial of service attacks when the APR or NIO connectors are enabled. (CVE-2011-2526)

  - A component that Apache Tomcat relies on called 'jsvc' contains an error in that it does not drop capabilities after starting and can allow access to sensitive files owned by the super user.  Note this vulnerability only affects Linux operating systems and only when the following are true:  jsvc is compiled with libpcap and the '-user' parameter is used. (CVE-2011-2729)

Versions of Tomcat 7.0.x earlier than 7.0.19 are potentially affected by multiple vulnerabilities : 

  - An issue exists in the error handling related to the MemoryUserDatabase that allows user passwords to be disclosed through log files. (CVE-2011-2204)

  - An input validation issue exists that allows a local attacker to either bypass security or carry out denial of service attacks when the APR or NIO connectors are enabled. (CVE-2011-2526)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
57812	Debian DSA-2401-1：tomcat6 - 多个漏洞	Nessus	Debian Local Security Checks	2012/2/3	2021/1/11	high
61184	Scientific Linux 安全更新：SL6.x 中的 tomcat6	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
68399	Oracle Linux 6：tomcat6 (ELSA-2011-1780)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	high
78925	RHEL 5 / 6：JBoss Web Server (RHSA-2012:0682)	Nessus	Red Hat Local Security Checks	2014/11/8	2024/4/27	high
5996	Apache Tomcat 7.0.x < 7.0.17 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2011/8/1	2019/3/6	high
6303	Mac OS X 10.7 < 10.7.3 Multiple Vulnerabilities	Nessus Network Monitor	Generic	2012/2/6	2019/3/6	critical
6018	Apache Tomcat 6.0.x < 6.0.33 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2011/8/30	2019/3/6	medium
800602	Apache Tomcat 6.0.x < 6.0.33 Multiple Vulnerabilities	Log Correlation Engine	Web Servers	2011/8/30		medium
800597	Apache Tomcat 7.0.x < 7.0.19 Multiple Vulnerabilities	Log Correlation Engine	Web Servers	2011/8/1		medium

検出

プラグインの検索

high

high

high

high

high

critical

medium

medium

medium