遠端 Debian 11 主機上安裝的多個套件受到 dsa-5381 公告中提及的多個弱點影響。

  如果將 rejectIllegalHeader 設定為 false，以此將 Apache Tomcat 8.5.0 到 8.5.82、9.0.0-M1 到 9.0.67、10.0.0-M1 到 10.0.26 或 10.1.0-M1 到 10.1.0 (預設僅限 8.5.x) 設定為忽略無效的 HTTP 標頭，則 Tomcat 不會拒絕含有無效 Content-Length 標頭的要求，若 Tomcat 前面的反向 Proxy 也不會拒絕含有無效標頭的要求，就可能遭受要求走私攻擊。(CVE-2022-42252)

  - 在 Apache Tomcat 8.5.83、9.0.40 至 9.0.68 和 10.1.0-M1 至 10.1.1 版本中， JsonErrorReportValve 未逸出類型、訊息或描述值。在某些情況下，這些是根據使用者提供的資料建構的，因此使用者可能提供使 JSON 輸出無效或操控 JSON 輸出的值。(CVE-2022-45143)

  - 使用 RemoteIpFilter 時，透過 HTTP 從反向 Proxy 收到的要求包括設為 https 的 X-Forwarded-Proto 標頭，由 Apache Tomcat 11.0.0-M1 至 11.0.0.-M2、10.1.0-M1 至 10.1.5、9.0.0-M1 至 9.0.71 和 8.5.0 至 8.5.85 建立的工作階段 Cookie 不包含安全屬性。這可導致使用者代理程式透過不安全的通道傳輸工作階段 Cookie。(CVE-2023-28708)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DSA-5381-1：tomcat9 - 安全性更新

high Nessus Plugin ID 173947

版本 1.0