遠端主機上安裝的 Tomcat 版本低於 11.0.21。因此會受到 fixed_in_apache_tomcat_11.0.21_security-11 公告中所提及的多個弱點影響。

  - Apache Tomcat 叢集元件的雲端成員資格中的「將敏感資訊插入記錄檔」弱點暴露了 Kubernetes 不記名 token。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.20 (含)、10.1.0-M1 至 10.1.53 (含)、9.0.13 至 9.0.116 (含)。建議使用者升級至 11.0.21、10.1.54 或 9.0.117 版，即可修正此問題。(CVE-2026-34487)

  - 在某些情況下當停用軟失敗且在 Apache Tomcat 中使用 FFM 時CLIENT_CERT 驗證不會如預期地失敗。此問題會影響 Apache Tomcat 11.0.0-M14 至 11.0.20、 10.1.22 至 10.1.53、 9.0.92 至 9.0.116。建議使用者升級至 11.0.21、10.1.54 或 9.0.117 版，即可修正此問題。(CVE-2026-34500)

  - Apache Tomcat 中缺少敏感資料加密弱點這是因為 CVE-2026-29146 的修正允許繞過 EncryptInterceptor 所致。此問題影響的 Apache Tomcat 11.0.20、 10.1.53、 9.0.116。建議使用者升級至 11.0.21、10.1.54 或 9.0.117 版，即可修正此問題。
    (CVE-2026-34486)

  - Apache Tomcat 的 JsonAccessLogValve 元件中的不當編碼或輸出逸出弱點。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.20 (含)、10.1.0-M1 至 10.1.53 (含)、9.0.40 至 9.0.116 (含)。建議使用者升級至 11.0.21、 10.1.54 或 9.0.117 版其可修正此問題。 (CVE-2026-34483)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Apache Tomcat 11.0.0.M14 < 11.0.21 多個弱點

high Nessus Plugin ID 307002

版本 1.1