Apache Software Foundation 報告：

在 Tomcat 的摘要式驗證實作中發現三個弱點並已解決：

- Tomcat 會追蹤用戶端，而非伺服器 nonce 和 nonce 計數。

- 預先傳送工作階段 ID 時，會繞過驗證。

- 使用者名稱和密碼沒有先檢查，就指出 nonce 已經過時。

這些問題會降低摘要式驗證的安全性，在某些情況下還可能會導致重播攻擊。

第一個問題是由 Tilmann Kuhn 所發現。第二和第三個問題是由 Tomcat 安全性團隊在因第一個問題而起的程式碼檢閱中發現。

偵測

FreeBSD：tomcat -- 驗證弱點 (152e4c7e-2a2e-11e2-99c7-00a0d181e71d)

medium Nessus Plugin ID 62884

找不到依附元件