MiracleLinux 3tomcat5-5.5.23-0jpp.22.0.1.AXS3 (AXSA:2012-53:01)
medium Nessus Plugin ID 284018
語言:
概要
遠端 MiracleLinux 主機缺少一個或多個安全性更新。說明
遠端 MiracleLinux 3 主機已安裝受到 AXSA:2012-53:01 公告中所提及的多個弱點影響的套件。Tomcat 是在正式參照實作 Java Servlet 和 JavaServer Pages 技術時所用的 servlet 容器。Java Servlet 和 JavaServer Pages 規格是由 Sun 依據 Java Community Process 所開發。
Tomcat 是在開放和參與式的環境中開發並在 Apache 軟體授權下發布。Tomcat 旨在成為全球最佳開發人員的協作項目。
誠邀您參與此開放式開發專案。如要了解有關參與的更多資訊，請按一下此處。
此版本修正的安全性問題
CVE-2010-3718 Apache Tomcat 7.0.0 到 7.0.3、 6.0.x和 5.5.x在 SecurityManager 內執行時不會將 ServletContext 屬性設定為唯讀進而允許本機 Web 應用程式讀取或寫入預定工作目錄之外的檔案。使用目錄遊走攻擊即為一例。
CVE-2011-0013 Apache Tomcat 的 HTML 管理員介面中的多個跨網站指令碼 (XSS) 弱點允許遠端攻擊者插入任意 Web 指令碼或 HTML[] 之前的 5.55.5.32[ 6.0.30之前的 6.0 以及 7.0 之前的 7.0.6 允許遠端攻擊者插入任意 Web 指令碼或 HTML透過 display-name 標籤。
CVE-2011-1184 在 Apache Tomcat 5.5.x 之前的 5.5.34、 6.x 之前的 6.0.33以及 7.x 之前的 7.0.12 中HTTP Digest Access Authentication 實作沒有預期的重播攻擊對策使得遠端攻擊者更容易繞過預定的存取。通過探查網路的有效要求來限制此問題與缺少 nonce (即伺服器 nonce) 和 nc (即 nonce-count 或用戶端 nonce 計數) 值檢查有關。
CVE-2011-2204 在 [] 之前的 5.5.34、 6.x ] 之前的 6.0.33和 7.x 之前的 7.0.17使用 MemoryUserDatabase 時Apache Tomcat 5.5.x 會在 JMX 使用者建立過程中發生錯誤時建立含有密碼的記錄項目其允許本機使用者取得敏感資訊透過讀取記錄檔。
Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 284018
檔案名稱: miracle_linux_AXSA-2012-53.nasl
版本: 1.1
類型: local
已發布: 2026/1/14
已更新: 2026/1/14
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.7
Vendor
Vendor Severity: High
CVSS v2
風險因素: Medium
基本分數: 5
時間性分數: 3.9
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2011-1184
CVSS v3
風險因素: Medium
基本分數: 5.3
時間性分數: 4.8
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:miracle:linux:tomcat5-jasper, p-cpe:/a:miracle:linux:tomcat5-servlet-2.4-api-javadoc, p-cpe:/a:miracle:linux:tomcat5-jsp-2.0-api, p-cpe:/a:miracle:linux:tomcat5, p-cpe:/a:miracle:linux:tomcat5-common-lib, p-cpe:/a:miracle:linux:tomcat5-servlet-2.4-api, p-cpe:/a:miracle:linux:tomcat5-server-lib, p-cpe:/a:miracle:linux:tomcat5-jsp-2.0-api-javadoc, cpe:/o:miracle:linux:3, p-cpe:/a:miracle:linux:tomcat5-jasper-javadoc, p-cpe:/a:miracle:linux:tomcat5-admin-webapps, p-cpe:/a:miracle:linux:tomcat5-webapps
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2012/2/1
弱點發布日期: 2011/2/5
參考資訊
CVE: CVE-2010-3718, CVE-2011-0013, CVE-2011-1184, CVE-2011-2204