據發現，Apache Tomcat 8.5.0 至 8.5.59 版可以將在 HTTP/2 連線上收到的先前資料流中的 HTTP 要求標頭值重複用於與後續資料流相關的要求。雖然這很可能會導致錯誤與 HTTP/2 連線關閉，但也可能會在兩次要求之間造成資訊洩漏。

針對 Debian 9 Stretch，已在 8.5.54-0+deb9u5 版本中修正此問題。

我們建議您升級 tomcat8 套件。

如需有關 tomcat8 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/tomcat8

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2495-1：tomcat8 安全性更新

high Nessus Plugin ID 144343

版本 1.5