在 Java Servlet 和 JSP 引擎 tomcat8 中修正數個小問題。CVE-2016-5388 啟用 CGI Servlet 時，Apache Tomcat 會遵守 RFC 3875 第 4.1.18 節，因此無法保護應用程式免受 HTTP_PROXY 環境變數中不信任用戶端資料的影響，這可讓遠端攻擊者透過 HTTP 要求中特製的 Proxy 標頭將應用程式的傳出 HTTP 流量重新導向至任意 proxy 伺服器 (也稱為「httpoxy」問題)。現在，'cgi' servlet 具有一個 'envHttpHeaders' 參數可篩選環境變數。CVE-2018-8014 Apache Tomcat 中提供的 CORS 篩選器預設設定不安全，而且會針對所有來源啟用「supportsCredentials」。預計 CORS 篩選器的使用者將針對其環境對其進行適當設定，而非在預設組態中使用。因此，預期大多數使用者將不受此問題影響。CVE-2019-0221 Apache Tomcat 中的 SSI printenv 命令會回應使用者提供的資料而不逸出，因此容易受到 XSS 影響。SSI 預設為停用狀態。printenv 命令的目的在於偵錯，不可能出現在生產網站中。針對 Debian 8「Jessie」，這些問題已在 8.0.14-1~deb8u15 版本中修正。我們建議您升級 tomcat8 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-1883-1：tomcat8 安全性更新 (httpoxy)

critical Nessus Plugin ID 127865

版本 1.5