在 Tomcat Servlet 和 JSP 引擎中發現數個安全性弱點。

CVE-2019-17569

7.0.98 中的重構引入了一個迴歸。迴歸的後果是：無效的 Transfer-Encoding 標頭未獲正確處理，若 Tomcat 以特定方式被放置在不當處理無效 Transfer-Encoding 標頭的反向 Proxy 後，即可能導致 HTTP 要求走私。這樣的反向 Proxy 是不太可能發生的。

CVE-2020-1935

剖析程式碼的 HTTP 標頭執行行尾 (EOL) 剖析時使用的方法會導致某些無效 HTTP 標頭被剖析為有效。
若 Tomcat 以特定方式被放置在不當處理無效 Transfer-Encoding 標頭的反向 Proxy 後，即可能導致 HTTP 要求走私。這樣的反向 Proxy 是不太可能發生的。

CVE-2020-1938

使用 Apache JServ Protocol (AJP) 時，信任連至 Apache Tomcat 的內傳連線時請務必謹慎。例如，Tomcat 認為 AJP 連線的可信度比類似的 HTTP 連線高。如果攻擊者可利用此類連線，這些連線就會以非正常的方式遭到惡意利用。在 Tomcat 7.0.100 之前，Tomcat 出貨時已預設啟用會接聽所有已設定 IP 位址的 AJP 連接器。非必要時，此連接器應該 (安全性指南中也建議) 停用。

請注意，Debian 已經依預設停用 AJP 連接器。僅當非受信任使用者可存取 AJP 連接埠時，才需要執行緩解措施。

針對 Debian 8「Jessie」，已在 7.0.56-3+really7.0.100-1 版本中修正這些問題。

建議您升級 tomcat7 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2133-1：tomcat7 安全性更新

critical Nessus Plugin ID 134243

版本 1.6