據發現，數個應用程式提供的 XML 檔案 (例如 web.xml、content.xml、*.tld、*.tagx 與 *.jspx)，解決了外部實體，而允許 XML 外部實體 (XXE) 攻擊。能夠對 Tomcat 部署惡意應用程式的攻擊者可能會利用此瑕疵規避 JSM 所設下的安全性限制，並取得系統敏感資訊的存取權。請注意，此瑕疵只對 Tomcat 從不受信任的來源執行應用程式時所在的部署產生影響，例如在共用主控環境中。(CVE-2013-4590)

據發現，在某些情況下，惡意 Web 應用程式可能取代 Apache Tomcat 所使用的 XML 剖析器，以針對預設 servlet、JSP 文件、標籤程式庫描述符號 (TLD) 與標籤外掛程式組態檔案處理 XSLT。然後，插入的 XML 剖析器可能會繞過對 XML 外部實體所設的限制並/或取得 XML 檔案的存取權，這些檔案會針對相同 Apache Tomcat 執行個體上部署的其他 Web 應用程式遭到處理。
(CVE-2014-0119)

必須重新啟動 Tomcat，此更新才能生效。

偵測

Scientific Linux 安全性更新：SL6.x 上的 tomcat6 (noarch)

medium Nessus Plugin ID 77144

找不到變更記錄