Apache Tomcat 9.0.92 < 9.0.117 多個弱點

high Nessus Plugin ID 307003

語言:

概要

遠端 Apache Tomcat 伺服器受到多個弱點影響

說明

遠端主機上安裝的 Tomcat 版本低於 9.0.117。因此會受到 fixed_in_apache_tomcat_9.0.117_security-9 公告中所提及的多個弱點影響。

- Apache Tomcat 叢集元件的雲端成員資格中的「將敏感資訊插入記錄檔」弱點暴露了 Kubernetes 不記名 token。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.20 (含)、10.1.0-M1 至 10.1.53 (含)、9.0.13 至 9.0.116 (含)。建議使用者升級至 11.0.21、10.1.54 或 9.0.117 版，即可修正此問題。(CVE-2026-34487)

- 在某些情況下當停用軟失敗且在 Apache Tomcat 中使用 FFM 時CLIENT_CERT 驗證不會如預期地失敗。此問題會影響 Apache Tomcat 11.0.0-M14 至 11.0.20、 10.1.22 至 10.1.53、 9.0.92 至 9.0.116。建議使用者升級至 11.0.21、10.1.54 或 9.0.117 版，即可修正此問題。(CVE-2026-34500)

- Apache Tomcat 中缺少敏感資料加密弱點這是因為 CVE-2026-29146 的修正允許繞過 EncryptInterceptor 所致。此問題影響的 Apache Tomcat 11.0.20、 10.1.53、 9.0.116。建議使用者升級至 11.0.21、10.1.54 或 9.0.117 版，即可修正此問題。
(CVE-2026-34486)

- Apache Tomcat 的 JsonAccessLogValve 元件中的不當編碼或輸出逸出弱點。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.20 (含)、10.1.0-M1 至 10.1.53 (含)、9.0.40 至 9.0.116 (含)。建議使用者升級至 11.0.21、 10.1.54 或 9.0.117 版其可修正此問題。 (CVE-2026-34483)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。