MiracleLinux 7tomcat-7.0.69-12.el7 (AXSA:2017-1748:02)
critical Nessus Plugin ID 289381
語言:
概要
遠端 MiracleLinux 主機缺少一個或多個安全性更新。說明
遠端 MiracleLinux 7 主機已安裝受到多個弱點影響的套件如 AXSA:2017-1748:02 公告中所提及。Tomcat 是在正式參照實作 Java Servlet 和 JavaServer Pages 技術時所用的 servlet 容器。
Java Servlet 和 JavaServer Pages 規格是由 Sun 依據 Java Community Process 所開發。
Tomcat 是在開放和參與式環境中開發，並在 Apache 軟體授權版 2.0 下發布。Tomcat 旨在成為全球最佳開發人員的協作項目。
此版本修正的安全性問題
CVE-2017-5648 調查錯誤 60718 時發現在 Apache Tomcat 9.0.0.M1 至 9.0.0中對應用程式接聽程式的某些呼叫會造成此錯誤。M17、 8.5.0 至 8.5.11、 8.0.0.RC1 至 8.0.41和 7.0.0 至 7.0.75 未使用適當的 facade 物件。在 SecurityManager 下執行不受信任的應用程式時，該不受信任的應用程式可能會因此保留對要求或回應物件的參照，因而存取和/或修改與另一個 Web 應用程式相關的資訊。
CVE-2017-5664 Java Servlet Specification 的錯誤頁面機制規定發生錯誤且已為發生的錯誤設定錯誤頁面時將原始要求和回應轉送至該錯誤頁面。這表示使用原始 HTTP 方法在錯誤頁面呈現要求。若錯誤頁面是靜態檔案，預期的行為是依照處理 GET 要求的方式處理檔案內容，不論實際的 HTTP 方法為何。Apache Tomcat 9.0.0.M1 到 9.0.0.M20、8.5.0 到 8.5.14、8.0.0.RC1 到 8.0.43、7.0.0 到 7.0.77 版中的預設 Servlet 不會這麼做。
視原始要求而定，這會造成靜態錯誤頁面發生非預期和不想要的結果，包括若將 DefaultServlet 設定為允許寫入，會導致替換或移除自訂錯誤頁面。針對其他使用者提供的錯誤頁面的注意事項：(1) 除非另有明確編碼，否則 JSP 會忽略 HTTP 方法。用作錯誤頁面的 JSP 必須確保將任何錯誤分派視為 GET 要求來處理無論實際方法為何。
(2) 根據預設Servlet 產生的回應會依賴 HTTP 方法。用作錯誤頁面的自訂 Servlet 必須確保將任何錯誤分派視為 GET 要求來處理無論實際方法為何。
Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 289381
檔案名稱: miracle_linux_AXSA-2017-1748.nasl
版本: 1.1
類型: local
已發布: 2026/1/16
已更新: 2026/1/16
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.2
Vendor
Vendor Severity: High
CVSS v2
風險因素: Medium
基本分數: 6.4
時間性分數: 4.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS 評分資料來源: CVE-2017-5648
CVSS v3
風險因素: Critical
基本分數: 9.1
時間性分數: 7.9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:miracle:linux:tomcat-admin-webapps, cpe:/o:miracle:linux:7, p-cpe:/a:miracle:linux:tomcat-lib, p-cpe:/a:miracle:linux:tomcat-webapps, p-cpe:/a:miracle:linux:tomcat-el-2.2-api, p-cpe:/a:miracle:linux:tomcat, p-cpe:/a:miracle:linux:tomcat-jsp-2.2-api, p-cpe:/a:miracle:linux:tomcat-servlet-3.0-api
必要的 KB 項目: Host/local_checks_enabled, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list, Host/cpu
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2017/7/27
弱點發布日期: 2017/4/10
參考資訊
CVE: CVE-2017-5648, CVE-2017-5664