在 Tomcat servlet 和 JSP 引擎中发现多个安全漏洞，其可能导致信息泄露、绕过 CSRF 保护和 SecurityManager 或造成拒绝服务。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2016:2045 公告中提及的多个漏洞影响。

    Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。

    安全修复：

    * 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325)

    * 已发现多个 Tomcat 会话持久性机制可允许经身份验证的远程用户通过 Web 应用程序，在会话中放置构建的对象，绕过预期的 SecurityManager 限制，并在特权环境中执行任意代码。(CVE-2016-0714)

    * 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388)

    * 在 Tomcat 的 RequestUtil.java 中发现一个目录遍历缺陷。经身份验证的远程用户可利用此缺陷，绕过预期 SecurityManager 限制，并通过 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的“/..”来列出父目录，$CATALINA_BASE/webapps 目录即为一例。(CVE-2015-5174)

    * 已发现即使目录受到安全限制保护，Tomcat 仍可泄露该目录的存在。用户可通过不以斜线结尾的 URL 来请求某目录，且可确认该目录是否存在（根据 Tomcat 是否重定向该请求）。
    (CVE-2015-5345)

    * 已发现当配置了安全管理员时，Tomcat 允许 Web 应用程序加载 StatusManagerServlet。这允许 Web 应用程序列出所有已部署的 Web 应用程序，并泄露会话 ID 等敏感信息。(CVE-2016-0706)

    Red Hat 在此感谢 Scott Geary (VendHQ) 报告 CVE-2016-5388。CVE-2016-6325 问题由 Red Hat 产品安全团队发现。

    错误修复：

    * 由于 tomcat6 规范文件中的缺陷，所以在安装时会将 catalina.out 文件的 md5sum、大小、mtime 属性与该文件属性进行比较。由于这些属性在服务开始后发生更改，所以之前的 rpm -V 命令失败。通过此更新，在 RPM 验证中会忽略上述属性，且 catalina.out 文件现已通过验证检查。(BZ#1357123)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 Apache Tomcat 6.0.45 之前的 6.x 版、7.0.67 之前的 7.x 版、8.0.30 之前的 8.x 版以及 9.0.0.M2 之前的 9.x 版中，Mapper 组件会在考虑安全限制与筛选器之前处理重定向，这可允许远程攻击者通过缺少结尾 / (斜线) 字符的 URL 来确定目录是否存在。(CVE-2015-5345) 影响 远程攻击者可能会利用此漏洞来确定受限制的目录是否存在。BIG-IP/Enterprise Manager Tomcat 服务不会直接暴露在网络中，该服务仅监听通过 Apache 前端 web 服务代理的连接本地主机套接字。Traffix SDC 如果攻击者有系统本地网络的访问权限，就有可能会利用此漏洞；Tomcat 服务只能从内部网络访问。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2016:2599 公告中提及的多个漏洞的影响。

    Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。

    下列程序包已升级到更新的上游版本：tomcat (7.0.69)。(BZ#1287928)

    安全修复：

    * 在 Manager 和 Host Manager 应用程序的 Tomcat 索引页面中发现一个 CSRF 缺陷。收到未经身份验证的 Web 应用程序根请求而发出重定向时，这些应用程序包含有效的 CSRF 标记。然后攻击者可利用此标记发动 CSRF 攻击。
    (CVE-2015-5351)

    * 已发现多个 Tomcat 会话持久性机制可允许经身份验证的远程用户通过 Web 应用程序，在会话中放置构建的对象，绕过预期的 SecurityManager 限制，并在特权环境中执行任意代码。(CVE-2016-0714)

    * 在 Tomcat 中发现一个安全管理员绕过缺陷，其允许经认证的远程用户访问任意应用程序数据，从而可能导致拒绝服务。(CVE-2016-0763)

    * 在 Commons FileUpload 中发现一个拒绝服务漏洞，如果边界是典型的数十字节长，而 multipart 边界的长度刚好小于用来读取已上传文件的缓冲区大小（4096 字节）时，便可能触发此漏洞。(CVE-2016-3092)

    * 在 Tomcat 的 RequestUtil.java 中发现一个目录遍历缺陷。经身份验证的远程用户可利用此缺陷，绕过预期 SecurityManager 限制，并通过 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的“/..”来列出父目录。
    (CVE-2015-5174)

    * 已发现即使目录受到安全限制保护，Tomcat 仍可泄露该目录的存在。用户可通过不以斜线结尾的 URL 来请求某目录，且可确认该目录是否存在（根据 Tomcat 是否重定向该请求）。
    (CVE-2015-5345)

    * 已发现当配置了安全管理员时，Tomcat 允许 Web 应用程序加载 StatusManagerServlet。这允许 Web 应用程序列出所有已部署的 Web 应用程序，并泄露会话 ID 等敏感信息。(CVE-2016-0706)

    其他变更：

    如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.3 版本说明。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Tomcat 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。下列程序包已升级到更新的上游版本：tomcat (7.0.69)。(BZ#1287928) 安全修复：* 在 Manager 和 Host Manager 应用程序的 Tomcat 索引页面中发现 CSRF 缺陷。收到未经身份验证的 Web 应用程序根请求而发出重定向时，这些应用程序包含有效的 CSRF 标记。然后攻击者可利用此标记发动 CSRF 攻击。(CVE-2015-5351) * 已发现多个 Tomcat 会话持久性机制可允许经身份验证的远程用户通过 Web 应用程序，在会话中放置构建的对象，绕过预期的 SecurityManager 限制，并在特权环境中执行任意代码。(CVE-2016-0714) * 在 Tomcat 中发现安全管理员绕过缺陷，其允许经身份验证的远程用户访问任意应用程序数据，从而可能导致拒绝服务。(CVE-2016-0763) * 在 Commons FileUpload 中发现拒绝服务漏洞，如果边界是典型的数十字节长，而 multipart 边界的长度刚好小于用来读取已上传文件的缓冲区大小（4096 字节）时，便可能触发此漏洞。(CVE-2016-3092) * 在 Tomcat 的 RequestUtil.java 中发现目录遍历缺陷。经身份验证的远程用户可利用此缺陷，绕过预期 SecurityManager 限制，并通过 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的“/..”来列出父目录。(CVE-2015-5174) * 已发现即使目录受到安全限制保护，Tomcat 仍可泄露该目录的存在。用户可通过不以斜线结尾的 URL 来请求某目录，且可确认该目录是否存在（根据 Tomcat 是否重定向该请求）。(CVE-2015-5345) * 已发现当配置了安全管理员时，Tomcat 允许 Web 应用程序加载 StatusManagerServlet。这允许 Web 应用程序列出所有已部署的 Web 应用程序，并泄露会话 ID 等敏感信息。(CVE-2016-0706) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.3 发行说明。

According to its self-reported version number, the Apache Tomcat instance listening on the remote host is prior to 6.0.45 / 7.0.68 / 8.0.30. It is, therefore, affected by an information disclosure vulnerability:

 - An information disclosure vulnerability exists due to a failure to enforce access restrictions when handling directory requests that are missing trailing slashes. An unauthenticated, remote attacker can exploit this to enumerate valid directories. (CVE-2015-5345)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Apache Tomcat installed on the remote host is version 9.0.x prior to 9.0.0.M3. It is, therefore, affected by multiple vulnerabilities :

 - An information disclosure vulnerability exists due to a failure to enforce access restrictions when handling directory requests that are missing trailing slashes. An unauthenticated, remote attacker can exploit this to enumerate valid directories. (CVE-2015-5345)
 - A flaw exists due to a failure to invalidate a previous session ID when assigning an ID to a new session. An attacker can exploit this, via a crafted request that uses the requestedSessionSSL field to fixate the session ID, to ensure that the user authenticates with a known session ID, allowing the session to be subsequently hijacked. (CVE-2015-5346)
 - An information disclosure vulnerability exists in the Manager and Host Manager web applications due to a flaw in the index page when issuing redirects in response to unauthenticated requests for the root directory of the application. An unauthenticated, remote attacker can exploit this to gain access to the XSRF token information stored in the index page. (CVE-2015-5351)
 - An information disclosure vulnerability exists that allows a specially crafted web application to load the StatusManagerServlet. An attacker can exploit this to gain unauthorized access to a list of all deployed applications and a list of the HTTP request lines for all requests currently being processed. (CVE-2016-0706)
 - A security bypass vulnerability exists due to a flaw in the StandardManager, PersistentManager, and cluster implementations that is triggered when handling persistent sessions. An unauthenticated, remote attacker can exploit this, via a crafted object in a session, to bypass the security manager and execute arbitrary code. (CVE-2016-0714)
 - A flaw exists due to the setGlobalContext() method of ResourceLinkFactory being accessible to web applications even when run under a security manager. An unauthenticated, remote attacker can exploit this to inject malicious global context, allowing data owned by other web applications to be read or written to. (CVE-2016-0763)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
91906	Debian DSA-3609-1：tomcat8 - 安全更新	Nessus	Debian Local Security Checks	2016/7/1	2021/1/11	high
93950	RHEL 6：tomcat6 (RHSA-2016:2045)	Nessus	Red Hat Local Security Checks	2016/10/11	2025/3/20	high
107136	F5 网络 BIG-IP：Apache Tomcat 6.x 漏洞 (K34341852)	Nessus	F5 Networks Local Security Checks	2018/3/6	2025/10/27	medium
94562	RHEL 7：tomcat (RHSA-2016:2599)	Nessus	Red Hat Local Security Checks	2016/11/4	2025/3/20	high
95345	CentOS 7 : tomcat (CESA-2016:2599)	Nessus	CentOS Local Security Checks	2016/11/28	2021/1/4	high
9316	Apache Tomcat 6.0.x < 6.0.45 / 7.0.x < 7.0.68 / 8.0.x < 8.0.30 Directory Traversal	Nessus Network Monitor	Web Servers	2016/5/24	2019/3/6	medium
700699	Apache Tomcat 9.0.x < 9.0.0.M3 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	high

検出

プラグインの検索

high

high

medium

high

high

medium

high