在 RequestUtil.java 中發現一個目錄遊走弱點，其允許經驗證的遠端使用者繞過預定的 SecurityManager 限制，並透過
Web 應用程式在 getResource、getResourceAsStream 或 getResourcePaths 呼叫中使用的路徑名稱之 /.. (斜線點點) 列出父目錄。
(CVE-2015-5174)

發現工作階段固定弱點，遠端攻擊者或可利用此弱點，在針對相同 Web 應用程式多個版本的部署使用不同工作階段設定時，透過利用非預定要求的 requestedSessionSSL 欄位，劫持 Web 工作階段。(CVE-2015-5346)

據發現，運算式語言解析器會在有權限的程式碼區段中評估運算式。惡意的 Web 應用程式可利用此缺陷繞過安全性管理員保護。(CVE-2014-7810)

偵測

Amazon Linux AMI：tomcat7 (ALAS-2016-657)

high Nessus Plugin ID 89838

找不到變更記錄