在 Tomcat servlet 和 JSP 引擎中發現多個安全性問題：

- CVE-2013-2067 FORM 驗證會將要求驗證的最新要求與目前的工作階段相關聯。透過在受害者完成登入表單時重複傳送對驗證資源的要求，攻擊者可插入一個將使用受害者的認證執行的要求。

- CVE-2013-2071 AsyncListener.onComplete() 中的一個運行時間例外狀況會防止回收要求。這可能會將先前要求的元素暴露給目前要求。

- CVE-2013-4286 拒絕包含多個 Content-Length 標頭或包含一個 Content-Length 標頭 (在使用區塊編碼時) 的要求。

- CVE-2013-4322 當處理使用區塊傳輸編碼提交的要求時，Tomcat 會忽略但不會限制所包含的任何延伸模組。這可讓用戶端透過串流未限制數量的資料給伺服器，來執行有限的拒絕服務。

- CVE-2014-0050 具有格式錯誤之 Content-Type 標頭的 multipart 要求可觸發無限迴圈，進而造成拒絕服務。

偵測

Debian DSA-2897-1：tomcat7 - 安全性更新

high Nessus Plugin ID 73421

找不到變更記錄