リモートホストにインストールされている Apache Tomcat のバージョンは、10.0.3 ～ 10.0.4 、9.0.44または8.5.64 です。したがって、非ブロッキング I/O 中のエラー処理を改善する変更の一部として導入されたエラーによるサービス拒否の影響を受けます。

スキャナーはこれらの問題を悪用しようとしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

rbeaudryによる報告：

Apache Tomcatの脆弱性により、攻撃者がリモートでサービス拒否を発生させる可能性があります。ノンブロッキングI/O中のエラー処理を改善する変更の一部として導入されたエラーにより、リクエストオブジェクトに関連するエラーフラグがリクエスト間でリセットされませんでした。これは、非ブロッキングI/Oエラーが発生すると、そのリクエストオブジェクトによって処理される今後のリクエストはすべて失敗することを意味します。ユーザーは、例えば接続をドロップすることでDoSを発生させる可能性を作り出すことで、非ブロッキングI/Oエラーを発生させることができました。

ノンブロッキングI/Oを使用しないアプリケーションは、この脆弱性の影響を受けません。この問題は、Apache Tomcat 10.0.3～10.0.4に影響を及ぼします;
9.0.44; 8.5.64。

リモートホストにインストールされている Tomcat のバージョンは 9.0.45より前です。したがって、fixed_in_apache_tomcat_9.0.45_security-9 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Apache Tomcat の脆弱性により、攻撃者がリモートでサービス拒否を発生させる可能性があります。ノンブロッキングI/O中のエラー処理を改善する変更の一部として導入されたエラーにより、リクエストオブジェクトに関連するエラーフラグがリクエスト間でリセットされませんでした。これは、非ブロッキングI/Oエラーが発生すると、そのリクエストオブジェクトによって処理される今後のリクエストはすべて失敗することを意味します。ユーザーは、例えば接続をドロップすることで DoS を発生させる可能性を作り出すことで、非ブロッキング I/O エラーを発生させることができました。ノンブロッキング I/O を使用しないアプリケーションは、この脆弱性の影響を受けません。この問題は、Apache Tomcat 10.0.3 ～ 10.0.4、9.0.44、8.5.64 に影響を及ぼします。(CVE-2021-30639)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Tomcat のバージョンは 8.5.65より前です。したがって、fixed_in_apache_tomcat_8.5.65_security-8 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Apache Tomcat の脆弱性により、攻撃者がリモートでサービス拒否を発生させる可能性があります。ノンブロッキングI/O中のエラー処理を改善する変更の一部として導入されたエラーにより、リクエストオブジェクトに関連するエラーフラグがリクエスト間でリセットされませんでした。これは、非ブロッキングI/Oエラーが発生すると、そのリクエストオブジェクトによって処理される今後のリクエストはすべて失敗することを意味します。ユーザーは、例えば接続をドロップすることで DoS を発生させる可能性を作り出すことで、非ブロッキング I/O エラーを発生させることができました。ノンブロッキング I/O を使用しないアプリケーションは、この脆弱性の影響を受けません。この問題は、Apache Tomcat 10.0.3 ～ 10.0.4、9.0.44、8.5.64 に影響を及ぼします。(CVE-2021-30639)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Tomcat のバージョンは 10.0.5より前です。したがって、fixed_in_apache_tomcat_10.0.5_security-10のアドバイザリに記載されている脆弱性の影響を受けます。

  - Apache Tomcatの脆弱性により、攻撃者がリモートでサービス拒否を発生させる可能性があります。ノンブロッキングI/O中のエラー処理を改善する変更の一部として導入されたエラーにより、リクエストオブジェクトに関連するエラーフラグがリクエスト間でリセットされませんでした。これは、非ブロッキングI/Oエラーが発生すると、そのリクエストオブジェクトによって処理される今後のリクエストはすべて失敗することを意味します。ユーザーは、例えば接続をドロップすることで DoS を発生させる可能性を作り出すことで、非ブロッキング I/O エラーを発生させることができました。ノンブロッキング I/O を使用しないアプリケーションは、この脆弱性の影響を受けません。この問題は、Apache Tomcat 10.0.3 ～ 10.0.4、9.0.44、8.5.64 に影響を及ぼします。(CVE-2021-30639)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
112903	Apache Tomcat 10.0.3 < 10.0.5 のサービス拒否	Web App Scanning	Component Vulnerability	2021/7/19	2023/3/14	high
112904	Apache Tomcat 9.0.44 のサービス拒否	Web App Scanning	Component Vulnerability	2021/7/19	2023/3/14	high
112905	Apache Tomcat 8.5.64 のサービス拒否	Web App Scanning	Component Vulnerability	2021/7/19	2023/3/14	high
152206	FreeBSD：tomcat -- 複数のバージョンにおけるリモートのサービス拒否（cc7c85d9-f30a-11eb-b12b-fc4dd43e2b6a）	Nessus	FreeBSD Local Security Checks	2021/8/4	2023/12/6	high
197840	Apache Tomcat 9.0.0 < 9.0.45	Nessus	Web Servers	2024/5/23	2024/5/23	high
197845	Apache Tomcat 8.5.0 < 8.5.65	Nessus	Web Servers	2024/5/23	2024/5/23	high
151504	Apache Tomcat 10.0.3 < 10.0.5	Nessus	Web Servers	2021/7/12	2024/5/23	high

検出

プラグインの検索

high

high

high

high

high

high

high