遠端 MiracleLinux 3 主機已安裝受到 AXSA:2009-366:02 公告中所提及的多個弱點影響的套件。

    Tomcat 是在正式參照實作 Java Servlet 和 JavaServer Pages 技術時所用的 servlet 容器。Java Servlet 和 JavaServer Pages 規格是由 Sun 依據 Java Community Process 所開發。
    Tomcat 是在開放和參與式的環境中開發並在 Apache 軟體授權下發布。Tomcat 旨在成為全球最佳開發人員的協作項目。
    誠邀您參與此開放式開發專案。
    修正的錯誤：
    CVE-2007-5333 Apache Tomcat 6.0.0 至 6.0.14、 5.5.0 至 5.5.25以及 4.1.0 至 4.1.36 未正確處理 cookie 值中的 (1) 雙引號 () 字元或 (2) %5C (編碼反斜線) 序列這可能導致將工作階段 ID 等敏感資訊洩漏給遠端攻擊者並啟用工作階段劫持攻擊。注意：此問題之所以存在，是因為 CVE-2007-3385 的修正不完整。
    CVE-2008-5515 Apache Tomcat 4.1.0 至 4.1.39、 5.5.0 至 5.5.27、 6.0.0 至 6.0.18可能還有更舊版本當其允許遠端攻擊者繞過預定的存取限制時會在篩選查詢字串前標準化目標路徑名稱。透過 .. (點點) 序列和要求中的 WEB-INF 目錄發動目錄遊走攻擊。
    CVE-2009-0033 Apache Tomcat 4.1.0 至 4.1.39、 5.5.0 至 5.5.27和 6.0.0 至 6.0.18在使用 Java AJP 連接器和 mod_jk 負載平衡時允許遠端攻擊者透過標頭無效的特製要求其與暫時封鎖遇到錯誤的連接器有關涉及格式錯誤之 HTTP 主機標頭的錯誤即為一例。
    CVE-2009-0580 Apache Tomcat 4.1.0 至 4.1.39、 5.5.0 至 5.5.27和 6.0.0 至 6.0.18在使用 FORM 驗證時允許遠端攻擊者透過對 /j_security_check 提出的要求 (對 URL 密碼進行格式錯誤) 列舉有效的使用者名稱與相關問題(1) MemoryRealm、(2) DataSourceRealm 和 (3) JDBCRealm 驗證領域中的不當錯誤檢查j_password 參數的 % (百分比) 值即為一例。
    CVE-2009-0781 在 Apache Tomcat 4.1.0 至 4.1.39、 5.5.0 至 5.5.27以及 6.0.0 至 6.0.18 中的範例 web 應用程式的行事歷應用程式內 jsp/cal/cal2.jsp 存在跨網站指令碼 (XSS) 弱點允許遠端攻擊攻擊者可透過時間參數插入任意 Web 指令碼或 HTML此問題與無效 HTML 相關。
    CVE-2009-0783 Apache Tomcat 4.1.0 至 4.1.39、 5.5.0 至 5.5.27和 6.0.0 至 6.0.18 允許 Web 應用程式取代用於其他 Web 應用程式的 XML 剖析器其允許本機使用者讀取或修改 (1) Web。透過比目標應用程式更早載入的特製應用程式讀取任意 web 應用程式的 xml、(2) context.xml 或 (3) tld 檔案。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 3tomcat5-5.5.23-0jpp.7.2.1AXS3 (AXSA:2009-366:02)

medium Nessus Plugin ID 283896

版本 1.1