遠端 MiracleLinux 7 主機已安裝受到多個弱點影響的套件如 AXSA:2017-1748:02 公告中所提及。

    Tomcat 是在正式參照實作 Java Servlet 和 JavaServer Pages 技術時所用的 servlet 容器。
    Java Servlet 和 JavaServer Pages 規格是由 Sun 依據 Java Community Process 所開發。
    Tomcat 是在開放和參與式環境中開發，並在 Apache 軟體授權版 2.0 下發布。Tomcat 旨在成為全球最佳開發人員的協作項目。
    此版本修正的安全性問題
    CVE-2017-5648 調查錯誤 60718 時發現在 Apache Tomcat 9.0.0.M1 至 9.0.0中對應用程式接聽程式的某些呼叫會造成此錯誤。M17、 8.5.0 至 8.5.11、 8.0.0.RC1 至 8.0.41和 7.0.0 至 7.0.75 未使用適當的 facade 物件。在 SecurityManager 下執行不受信任的應用程式時，該不受信任的應用程式可能會因此保留對要求或回應物件的參照，因而存取和/或修改與另一個 Web 應用程式相關的資訊。
    CVE-2017-5664 Java Servlet Specification 的錯誤頁面機制規定發生錯誤且已為發生的錯誤設定錯誤頁面時將原始要求和回應轉送至該錯誤頁面。這表示使用原始 HTTP 方法在錯誤頁面呈現要求。若錯誤頁面是靜態檔案，預期的行為是依照處理 GET 要求的方式處理檔案內容，不論實際的 HTTP 方法為何。Apache Tomcat 9.0.0.M1 到 9.0.0.M20、8.5.0 到 8.5.14、8.0.0.RC1 到 8.0.43、7.0.0 到 7.0.77 版中的預設 Servlet 不會這麼做。
    視原始要求而定，這會造成靜態錯誤頁面發生非預期和不想要的結果，包括若將 DefaultServlet 設定為允許寫入，會導致替換或移除自訂錯誤頁面。針對其他使用者提供的錯誤頁面的注意事項：(1) 除非另有明確編碼，否則 JSP 會忽略 HTTP 方法。用作錯誤頁面的 JSP 必須確保將任何錯誤分派視為 GET 要求來處理無論實際方法為何。
    (2) 根據預設Servlet 產生的回應會依賴 HTTP 方法。用作錯誤頁面的自訂 Servlet 必須確保將任何錯誤分派視為 GET 要求來處理無論實際方法為何。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 7tomcat-7.0.69-12.el7 (AXSA:2017-1748:02)

critical Nessus Plugin ID 289381

版本 1.1