遠端 Debian 12 主機上安裝的多個套件受到 dsa-5665 公告中提及的多個弱點影響。

  - Apache Tomcat.Tomcat 11.0.0-M1 至 11.0.0-M10、10.1.0-M1 至 10.1.15、9.0.0-M1 至 9.0.82 以及 8.5.0 至 8.5.95 中未正確剖析 HTTP 結尾標頭。因而存在不當輸入驗證弱點。若在發出要求端與 Tomcat 之間有反向 Proxy，超出大小限制的結尾標頭會導致 Tomcat 將單一要求視為多個要求，造成可能會出現要求走私情形。建議使用者升級至 11.0.0-M11 之後的版本、10.1.16 之後的版本、9.0.83 之後的版本或 8.5.96 之後的版本，以修復此問題。(CVE-2023-46589)

  - Apache Tomcat 中存在未完整清理造成的拒絕服務弱點。WebSocket 用戶端可能會讓 WebSocket 連線保持開啟，進而導致資源消耗增加。此問題會影響 Apache Tomcat 11.0.0-M1 至 11.0.0-M16 版、10.1.0-M1 至 10.1.18 版、9.0.0 -M1 至 9.0.85 版、8.5.0 至 8.5.98 版。建議使用者升級至 11.0.0-M17、10.1.19、9.0.86 或 8.5.99 版，即可修正此問題。(CVE-2024-23672)

  - 在 Apache Tomcat 中，針對 HTTP/2 要求存在不當輸入驗證所導致的拒絕服務弱點。
    處理 HTTP/2 要求時，如果要求超出任何已設定的標頭限制，相關聯的 HTTP/2 資料流會在處理完所有標頭之前重設。此問題會影響 Apache Tomcat 11.0.0- M1 至 11.0.0-M16 版、10.1.0-M1 至 10.1.18 版、9.0.0-M1 至 9.0.85 版、8.5.0 至 8.5.98 版。建議使用者升級至 11.0.0-M17、10.1.19、9.0.86 或 8.5.99 版，即可修正此問題。(CVE-2024-24549)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dsa-5665：libtomcat10-embed-java - 安全性更新

high Nessus Plugin ID 193448

版本 1.1

版本 1.0

版本 1.1 Jul 12, 2024, 5:55 PM IAVM reference Plugin Feed: 202407121755
版本 1.0 Apr 18, 2024, 4:44 AM New Plugin Feed: 202404180444