使用傳送檔案時，未正確處理管線要求。在 Apache Tomcat 9.0.0.M1 到 9.0.0.M18、8.5.0 到 8.5.12、8.0.0.RC1 到 8.0.42、7.0.0 到 7.0.76，以及 6.0.0 到 6.0.52 中，管線要求的處理在使用傳送檔案時存在一個錯誤，導致在完成之前要求的傳送檔案處理時，遺失管線要求。這可能會導致針對錯誤的要求傳送回應。例如，傳送要求 A、B 和 C 的使用者代理程式可以看到對要求 A 的正確回應、對要求 B 的要求 C 的回應，對要求 C 則看不到回應。(CVE-2017-5647) 對應用程式接聽程式的呼叫沒有使用適當的 facade 物件。調查錯誤 60718 時，在 Apache Tomcat 9.0.0.M1 到 9.0.0.M17、8.5.0 到 8.5.11、8.0.0.RC1 到 8.0.41，以及 7.0.0 到 7.0.75 中，注意到對應用程式接聽程式的部分呼叫沒有使用適當的 facade 物件。在 SecurityManager 下執行不受信任的應用程式時，該不受信任的應用程式可能會因此保留對要求或回應物件的參照，因而存取和/或修改與另一個 Web 應用程式相關的資訊。(CVE-2017-5648)

偵測

Amazon Linux AMI : tomcat7 / tomcat8 (ALAS-2017-822)

critical Nessus Plugin ID 99535

找不到變更記錄