遠端 Redhat Enterprise Linux 6 主機已安裝受到一個弱點影響的套件，如 RHSA-2013:0005 公告中所提及。

    Apache Tomcat 是一個 Servlet 容器。

    據發現，當應用程式使用 FORM 驗證，以及另一個在呼叫 FormAuthenticator#authenticate() 之前先呼叫 request.setUserPrincipal() 的元件 (例如 Single-Sign-On valve) 時，可以繞過安全性透過將 /j_security_check 附加至 URL 的結尾，在 FORM 驗證器中進行限制檢查。在受影響的應用程式上擁有經過驗證之工作階段的遠端攻擊者，可利用此瑕疵規避驗證控制，並且從而存取與其經過驗證的工作階段相關之角色所不允許的資源。
    (CVE-2012-3546)

    警告：套用更新之前，請先備份現有的 JBoss Enterprise Web Server 安裝 (包括所有應用程式和設定檔)。

    Tomcat 的使用者應升級至這些更新版套件，其可解決這個問題。必須重新啟動 Tomcat 後，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 6：tomcat6 (RHSA-2013:0005)

medium Nessus Plugin ID 76233

找不到變更記錄