The remote host is affected by the vulnerability described in GLSA-201206-24 (Apache Tomcat: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Apache Tomcat. Please       review the CVE identifiers referenced below for details.
  Impact :

    The vulnerabilities allow an attacker to cause a Denial of Service, to       hijack a session, to bypass authentication, to inject webscript, to       enumerate valid usernames, to read, modify and overwrite arbitrary files,       to bypass intended access restrictions, to delete work-directory files,       to discover the server&rsquo;s hostname or IP, to bypass read permissions for       files or HTTP headers, to read or write files outside of the intended       working directory, and to obtain sensitive information by reading a log       file.
  Workaround :

    There is no known workaround at this time.

リモートホストにインストールされている Tomcat のバージョンは 7.0.12より前です。したがって、fixed_in_apache_tomcat_7.0.12_security-7 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Apache Tomcat 7.0.x の 7.0.12 以前の HTTP BIO コネクタは、HTTP パイプラインを適切に処理しません。これにより、リモートの攻撃者は、異なるユーザーからのリクエストに対するレスポンスが混同されることに関連して、HTTP パケット内のアプリケーションデータを検査することにより、特定の状況を利用して他のクライアント向けの応答を読み取る可能性があります。(CVE-2011-1475)

  - 5.5.34 より前の Apache Tomcat 5.5.x、6.0.33 より前の Apache Tomcat 6.x、および 7.0.12 より前の Apache Tomcat 7.x において、HTTP Digest Access Authentication の実装では、レルムの値をチェックしていません。これにより、リモートの攻撃者は、認証または承認の要件がより脆弱な利用できる保護スペースを活用することで、意図されたアクセス制限をバイパスできる可能性があります。これは、CVE-2011-1184 とは別の脆弱性です。
    (CVE-2011-5063)

  - Apache Tomcat 7.x の 7.0.10 以前では、ServletSecurity の注釈に準拠していないため、リモートの攻撃者が、ウェブアプリケーションへの HTTP リクエストを通じて、意図されたアクセス制限をバイパスすることが可能です。(CVE-2011-1088)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストが、GLSA-201206-24 で説明されている脆弱性の影響を受けます（Apache Tomcat：複数の脆弱性）

Apache Tomcat に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

この脆弱性により、攻撃者が、サービス拒否を引き起こしたり、セッションをハイジャックしたり、認証をバイパスしたり、Web スクリプトを注入したり、有効なユーザー名を列挙したり、任意のファイルを読み取り、変更および上書きしたり、意図されたアクセス制限をバイパスしたり、作業ディレクトリのファイルを削除したり、サーバーのホスト名や IP を突き止めたり、ファイルや HTTP ヘッダーの読み取り権限をバイパスしたり、意図された作業ディレクトリ外のファイルを読み書きしたり、ログファイルを読み取ることで機密情報を取得することが可能です。
 回避策：

現時点で、既知の回避策はありません。

The version of Tomcat installed on the remote host is prior to 7.0.12. It is, therefore, affected by multiple vulnerabilities as referenced in the fixed_in_apache_tomcat_7.0.12_security-7 advisory.

  - The HTTP BIO connector in Apache Tomcat 7.0.x before 7.0.12 does not properly handle HTTP pipelining,     which allows remote attackers to read responses intended for other clients in opportunistic circumstances     by examining the application data in HTTP packets, related to a mix-up of responses for requests from     different users. (CVE-2011-1475)

  - The HTTP Digest Access Authentication implementation in Apache Tomcat 5.5.x before 5.5.34, 6.x before     6.0.33, and 7.x before 7.0.12 does not check realm values, which might allow remote attackers to bypass     intended access restrictions by leveraging the availability of a protection space with weaker     authentication or authorization requirements, a different vulnerability than CVE-2011-1184.
    (CVE-2011-5063)

  - Apache Tomcat 7.x before 7.0.10 does not follow ServletSecurity annotations, which allows remote attackers     to bypass intended access restrictions via HTTP requests to a web application. (CVE-2011-1088)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端主機上安裝的 Tomcat 版本比 7.0.12 舊。因此，會受到 fixed_in_apache_tomcat_7.0.12_security-7 公告中提及的多個弱點影響。

  - 在 7.0.12 之前 7.0.x 版 Apache Tomcat  中，HTTP BIO 連接器未正確處理 HTTP 管線，其允許遠端攻擊者有機會透過檢查 HTTP 封包中的應用程式資料，讀取預定給其他用戶端的回應，這與混淆不同使用者要求的回應。(CVE-2011-1475)

  - 在 5.5.34 之前的 5.5.x 版、6.0.33 之前的 6.x 版和 7.0.12 之前的 7.x 版 Apache Tomcat 中，HTTP Digest Access Authentication 實作並未檢查領域值，這可能會允許遠端攻擊者利用具有弱式驗證或授權需求的保護空間可用性來繞過預定的存取限制；此弱點與 CVE-2011-1184 不同。
    (CVE-2011-5063)

  - 7.0.10 之前 7.x 版 Apache Tomcat  未遵循 ServletSecurity 註解，其允許遠端攻擊者透過對 Web 應用程式的 HTTP 要求，繞過預定的存取限制。(CVE-2011-1088)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机受到 GLSA-201206-24 中所述漏洞的影响（Apache Tomcat：多种漏洞）

在 Apache Tomcat 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

这些漏洞允许攻击者造成拒绝服务，劫持会话，绕过认证，注入 Web 脚本，枚举有效用户名，读取、修改和覆盖任意文件，绕过预期访问限制，删除工作目录文件，发现服务器的主机名或 IP，绕过文件或 HTTP 标头的读取权限，读取或写入预期工作目录外部的文件以及通过读取日志文件来获取敏感信息。
 变通方案：

目前无任何已知的变通方案。

远程主机上安装的 Tomcat 版本低于 7.0.12。因此，它受到 fixed_in_apache_tomcat_7.0.12_security-7 公告中提及的多个漏洞影响。

  - 在 7.0.x 至 7.0.12 版本的 Apache Tomcat 中，HTTP BIO 连接器未正确处理 HTTP 管道，导致远程攻击者可以通过检查 HTTP 数据包中的应用程序数据，在有机会的情况下读取原本用于其他客户端的响应，此问题与不同用户的请求发生响应混乱相关。(CVE-2011-1475)

  - 在 5.5.34 之前的 Apache Tomcat 5.5.x、6.0.33 之前的 Apache Tomcat 6.x 和 7.0.12 之前的 Apache Tomcat 7.x 中，HTTP Digest Access Authentication 实现未检查领域值，这可能允许远程攻击者通过利用具有较弱认证或授权要求的保护空间的可用性来绕过预期访问限制，此漏洞与 CVE-2011-1184 不同。
    (CVE-2011-5063)

  - 7.x 至 7.0.10 版本的 Apache Tomcat 未遵循 ServletSecurity 注释原则，导致远程攻击者可以通过向 Web 应用程序发出 HTTP 请求来绕过预期访问限制。(CVE-2011-1088)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機受到 GLSA-201206-24 中所述的弱點影響 (Apache Tomcat：多個弱點)

在 Apache Tomcat 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

這些弱點允許攻擊者透過讀取記錄檔造成拒絕服務、劫持工作階段、繞過驗證、插入 Web 指令碼、列舉有效的使用者名稱、讀取、修改和覆寫任意檔案、繞過預定的存取限制、刪除工作目錄檔案、探索伺服器的主機名稱或 IP、繞過檔案或 HTTP 標頭的讀取權限、讀取或寫入預定工作目錄以外的檔案，以及取得敏感資訊。
 因應措施：

目前尚無已知的因應措施。

Versions of Tomcat 7.0.x earlier than 7.0.12 are potentially affected by multiple vulnerabilities : 

  - An information disclosure exists in the HTTP BIO connector. (CVE-2011-1475)

  - A security bypass vulnerability exists due to a regression in the fix for CVE-2011-1088.  Note that this issue only affects Tomcat 7.0.11.(CVE-2011-1183)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
59677	GLSA-201206-24 : Apache Tomcat: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2012/6/25	2021/1/6	medium
53323	Apache Tomcat 7.0.0< 7.0.12の複数の脆弱性	Nessus	Web Servers	2011/4/7	2024/5/23	medium
59677	GLSA-201206-24：Apache Tomcat：複数の脆弱性	Nessus	Gentoo Local Security Checks	2012/6/25	2021/1/6	medium
53323	Apache Tomcat 7.0.0 < 7.0.12 multiple vulnerabilities	Nessus	Web Servers	2011/4/7	2024/5/23	medium
53323	Apache Tomcat 7.0.0 < 7.0.12 多個弱點	Nessus	Web Servers	2011/4/7	2024/5/23	medium
59677	GLSA-201206-24：Apache Tomcat：多种漏洞	Nessus	Gentoo Local Security Checks	2012/6/25	2021/1/6	medium
53323	Apache Tomcat 7.0.0 < 7.0.12 多个漏洞	Nessus	Web Servers	2011/4/7	2024/5/23	medium
59677	GLSA-201206-24 : Apache Tomcat：多個弱點	Nessus	Gentoo Local Security Checks	2012/6/25	2021/1/6	medium
800625	Apache Tomcat 7.0.x < 7.0.12 Multiple Vulnerabilities	Log Correlation Engine	Web Servers	2011/4/7		medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium