遠端 MiracleLinux 4 主機已安裝受到多個弱點影響的套件如 AXSA:2011-642:02 公告中所提及。

    Tomcat 是在正式參照實作 Java Servlet 和 JavaServer Pages 技術時所用的 servlet 容器。Java Servlet 和 JavaServer Pages 規格是由 Sun 依據 Java Community Process 所開發。
    Tomcat 是在開放和參與式環境中開發，並在 Apache 軟體授權版 2.0 下發布。Tomcat 旨在成為全球最佳開發人員的協作項目。
    此版本修正的安全性問題
    CVE-2010-3718 Apache Tomcat 7.0.0 到 7.0.3、 6.0.x和 5.5.x在 SecurityManager 內執行時不會將 ServletContext 屬性設定為唯讀進而允許本機 Web 應用程式讀取或寫入預定工作目錄之外的檔案。使用目錄遊走攻擊即為一例。
    CVE-2010-4172 在 Apache Tomcat 6.0.12 至 6.0.29 和 7.0.0 至 7.0.4 中Manager 應用程式的多個跨網站指令碼 (XSS) 弱點允許遠端攻擊者透過 (1) orderBy 或 (2) sort 插入任意 Web 指令碼或 HTML sessionList.jsp 的參數或是 (3) sessionDetail.jsp 或 (4) java/org/apache/catalina/manager/JspHelper.java 的不明輸入這與使用未受信任的 web 應用程式有關。
    CVE-2011-0013 Apache Software Foundation Tomcat 的 HTML 管理員介面中的多個跨網站指令碼 (XSS) 弱點允許遠端攻擊者插入任意 Web 指令碼或 HTML 7.0.67.0 ] 之前的 5.5.32之前的 5.5 以及 6.0 之前的 6.0.30 透過 display-name 標籤即為一例。
    修正的錯誤：
     - 可同時執行多個 Tomcat 執行個體。
     - 已新增 build-jar-repository 命令所需的 /usr/share/tomcat6/bin/tomcat-juli.jar 程式庫的符號連結。
     - 此更新會修改 init 指令碼使其無論程序使用者的登入殼層為何都能正確運作進而防止出現下列錯誤訊息此帳戶目前無法使用。此外根據部署最佳做法的建議這些新的 tomcat6 套件現在會在安裝時將 /sbin/nologin 設定為 tomcat 使用者的登入 shell。
     - 部分標準 Tomcat 目錄缺少 tomcat 群組的寫入權限。此問題已經修正例如沒有輸出資料夾之類的錯誤不會再出現。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 4tomcat6-6.0.24-33.AXS4 (AXSA:2011-642:02)

medium Nessus Plugin ID 284044

版本 1.1