Amazon Linux 2tomcat --advisory ALAS2TOMCAT9-2026-024 (ALASTOMCAT9-2026-024)
medium Nessus Plugin ID 303081
語言:
概要
遠端 Amazon Linux 2 主機缺少安全性更新。說明
遠端主機上安裝的 Tomcat 版本低於 9.0.115-1。因此，會受到 ALAS2TOMCAT9-2026-024 公告中所提及的多個弱點影響。mproper 輸入驗證弱點。此問題影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14、10.1.0-M1 至 10.1.49、9.0.0-M1 至 9.0.112。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100。較舊的停產版本不受影響。Tomcat 未驗證透過 SNI 延伸模組提供的主機名稱是否與 HTTP 主機標頭欄位中提供的主機名稱相同。如果 Tomcat 設有一個以上的虛擬主機，且其中一個主機的 TLS 組態不需要用戶端憑證驗證，而另一台需要用戶端憑證驗證，則用戶端可能透過在 SNI 延伸模組與 HTTP 主機標頭欄位中傳送不同的主機名稱來繞過用戶端憑證驗證。僅在連接器強制執行用戶端憑證驗證的情況下，才會產生此弱點。如果在 Web 應用程式上強制執行用戶端憑證驗證，則不適用。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。(CVE-2025-66614)
在 Tomcat 中發現一個瑕疵。一個不當輸入驗證弱點允許攻擊者繞過安全性限制。具體而言如果將安全性限制設定為允許對 URI 的 HEAD 要求但拒絕 GET 要求則使用 HTTP/0.9 通訊協定的格式錯誤或規格無效的 HEAD 要求可繞過預定的拒絕規則讓攻擊者得以存取本應拒絕的資源。受到保護。
(CVE-2026-24733)
Apache Tomcat Native 中的不當輸入驗證弱點、Apache Tomcat。
使用 OCSP 回應程式時，Tomcat Native (以及 Tomcat Native 程式碼的 Tomcat FFM 連接埠) 未對 OCSP 回應完成驗證或時效性檢查，這可允許繞過憑證撤銷。
此問題會影響 Apache Tomcat Native 1.3.0 到 1.3.4、 2.0.0 到 2.0.11Apache Tomcat從 11.0.0-M1 到 11.0.17、從 10.1.0-M7 到 10.1.51、從 9.0.83 到 9.0.114。
下列版本在建立 CVE 時已達 EOL但已知受到影響 1.1.23 至 1.1.34、 1.2.0 至 1.2.39。較舊的停產版本不受影響。
建議 Apache Tomcat Native 使用者升級至 1.3.5 或更新版本，或是 2.0.12 或更新版本，以修正此問題。
建議 Apache Tomcat 使用者升級至 11.0.18 或更新版本、10.1.52 或更新版本、9.0.115 或更新版本，以修正此問題。(CVE-2026-24734)
Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
執行「yum update tomcat」或 或「yum update --advisory ALAS2TOMCAT9-2026-024」以更新系統。另請參閱
https://alas.aws.amazon.com//AL2/ALAS2TOMCAT9-2026-024.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2025-66614.html
Plugin 詳細資訊
嚴重性: Medium
ID: 303081
檔案名稱: al2_ALASTOMCAT9-2026-024.nasl
版本: 1.1
類型: local
代理程式: unix
已發布: 2026/3/19
已更新: 2026/3/19
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.0
CVSS v2
風險因素: High
基本分數: 9.4
時間性分數: 7
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS 評分資料來源: CVE-2025-66614
CVSS v3
風險因素: Critical
基本分數: 9.1
時間性分數: 7.9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
風險因素: Medium
Base Score: 6.9
Threat Score: 2.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
CVSS 評分資料來源: CVE-2026-24733
弱點資訊
CPE: p-cpe:/a:amazon:linux:tomcat-jsp-2.3-api, p-cpe:/a:amazon:linux:tomcat-lib, p-cpe:/a:amazon:linux:tomcat-servlet-4.0-api, p-cpe:/a:amazon:linux:tomcat-webapps, p-cpe:/a:amazon:linux:tomcat-el-3.0-api, cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:tomcat-jsvc, p-cpe:/a:amazon:linux:tomcat-admin-webapps, p-cpe:/a:amazon:linux:tomcat-docs-webapp, p-cpe:/a:amazon:linux:tomcat
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/3/19
弱點發布日期: 2025/12/8
參考資訊
CVE: CVE-2025-66614, CVE-2026-24733, CVE-2026-24734
IAVA: 2026-A-0175