リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:1537-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Tomcat 10.1.40に更新します。

    - CVE-2025-31650: 無効な優先度フィールド値は無視されます (bsc#1242008)
    - CVE-2025-31651: リテラル「;」および「?」を含む URL の処理を改善します (bsc#1242009)

    全変更ログ：

    https://tomcat.apache.org/tomcat-10.1-doc/changelog.html

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2025:01537-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Tomcat 10.1.40に更新します。

    - CVE-2025-31650: 無効な優先度フィールド値は無視されます (bsc#1242008)
    - CVE-2025-31651: リテラル「;」および「?」を含む URL の処理を改善します (bsc#1242009)

    全変更ログ：

    https://tomcat.apache.org/tomcat-10.1-doc/changelog.html

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Tomcat installed on the remote host is prior to 10.1.40. It is, therefore, affected by multiple vulnerabilities as referenced in the fixed_in_apache_tomcat_10.1.40_security-10 advisory.

  - Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in Apache Tomcat. For a subset     of unlikely rewrite rule configurations, it was possible for a specially crafted request to bypass some     rewrite rules. If those rewrite rules effectively enforced security constraints, those constraints could     be bypassed. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.5, from 10.1.0-M1 through     10.1.39, from 9.0.0.M1 through 9.0.102. Users are recommended to upgrade to version 10.1.40, which     fixes the issue. (CVE-2025-31651)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Tomcat installed on the remote host is prior to 9.0.104. It is, therefore, affected by multiple vulnerabilities as referenced in the fixed_in_apache_tomcat_9.0.104_security-9 advisory.

- Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in Apache Tomcat. For a subset     of unlikely rewrite rule configurations, it was possible for a specially crafted request to bypass some     rewrite rules. If those rewrite rules effectively enforced security constraints, those constraints could     be bypassed. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.5, from 10.1.0-M1 through     10.1.39, from 9.0.0.M1 through 9.0.102. Users are recommended to upgrade to version 9.0.104, which     fixes the issue. (CVE-2025-31651)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2025-964 advisory.

    Improper Input Validation vulnerability in Apache Tomcat. Incorrect error handling for some invalid HTTP     priority headers resulted in incomplete clean-up of the failed request which created a memory leak. A     large number of such requests could trigger an OutOfMemoryException resulting in a denial of service.

    This issue affects Apache Tomcat: from 9.0.76 through 9.0.102, from 10.1.10 through 10.1.39, from     11.0.0-M2 through 11.0.5. (CVE-2025-31650)

    Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in Apache Tomcat. For a subset     of unlikely rewrite rule configurations, it was possible for a specially crafted request to bypass some     rewrite rules. If those rewrite rules effectively enforced security constraints, those constraints could     be bypassed. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.5, from 10.1.0-M1 through     10.1.39, from 9.0.0.M1 through 9.0.102. (CVE-2025-31651)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2025-965 advisory.

    Improper Input Validation vulnerability in Apache Tomcat. Incorrect error handling for some invalid HTTP     priority headers resulted in incomplete clean-up of the failed request which created a memory leak. A     large number of such requests could trigger an OutOfMemoryException resulting in a denial of service.

    This issue affects Apache Tomcat: from 9.0.76 through 9.0.102, from 10.1.10 through 10.1.39, from     11.0.0-M2 through 11.0.5. (CVE-2025-31650)

    Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in Apache Tomcat. For a subset     of unlikely rewrite rule configurations, it was possible for a specially crafted request to bypass some     rewrite rules. If those rewrite rules effectively enforced security constraints, those constraints could     be bypassed. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.5, from 10.1.0-M1 through     10.1.39, from 9.0.0.M1 through 9.0.102. (CVE-2025-31651)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2025:01521-1 advisory.

    Update to Tomcat 9.0.104

    - CVE-2025-31650: invalid priority field values should be ignored (bsc#1242008)
    - CVE-2025-31651: Better handling of URLs with literal ';' and '?' (bsc#1242009)

    Full changelog:

    https://tomcat.apache.org/tomcat-9.0-doc/changelog.htm

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-4244 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4244-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                      Markus Koschany     July 22, 2025                                 https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : tomcat9     Version        : 9.0.107-0+deb11u1     CVE ID         : CVE-2024-34750 CVE-2024-54677 CVE-2025-31650 CVE-2025-31651                      CVE-2025-46701 CVE-2025-48976 CVE-2025-48988 CVE-2025-49125                      CVE-2025-52434 CVE-2025-52520 CVE-2025-53506

    Several security vulnerabilities have been found in Tomcat 9, a Java web server     and servlet engine. Most notably the update improves the handling of HTTP/2     connections and corrects various flaws which can lead to uncontrolled resource     consumption and a denial of service.

    For Debian 11 bullseye, these problems have been fixed in version     9.0.107-0+deb11u1.

    We recommend that you upgrade your tomcat9 packages.

    For the detailed security status of tomcat9 please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/tomcat9

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている Tomcat のバージョンは 10.1.40より前です。したがって、fixed_in_apache_tomcat_10.1.40_security-10 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Apache Tomcat におけるエスケープ、メタ、または制御シーケンスの不適切な無効化の脆弱性。可能性の低い書き換えルール設定のサブセットでは、特別に細工されたリクエストによって一部の書き換えルールがバイパスされる可能性がありました。これらの書き換えルールがセキュリティ制約を実質的に強制していた場合、それらの制約はバイパスされる可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.5 まで、10.1.0-M1 から 10.1.39 まで、9.0.0.M1 から 9.0.102 まで。ユーザーには、この問題を修正したバージョンであるバージョン 10.1.40 へのアップグレードをお勧めします。(CVE-2025-31651)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Tomcat のバージョンは 9.0.104より前です。したがって、fixed_in_apache_tomcat_9.0.104_security-9 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- Apache Tomcat におけるエスケープ、メタ、または制御シーケンスの不適切な無効化の脆弱性。可能性の低い書き換えルール設定のサブセットでは、特別に細工されたリクエストによって一部の書き換えルールがバイパスされる可能性がありました。これらの書き換えルールがセキュリティ制約を実質的に強制していた場合、それらの制約はバイパスされる可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.5 まで、10.1.0-M1 から 10.1.39 まで、9.0.0.M1 から 9.0.102 まで。ユーザーには、この問題を修正したバージョンであるバージョン 9.0.104 へのアップグレードをお勧めします。(CVE-2025-31651)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2025-964 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Apache Tomcat の不適切な入力検証の脆弱性。一部の無効な HTTP 優先度ヘッダーに対するエラー処理が不適切だったため、失敗したリクエストのクリーンアップが不完全になり、メモリリークが発生しました。このようなリクエストが大量に発生すると、OutOfMemoryException がトリガーされ、サービス拒否が発生する可能性があります。

    この問題は、9.0.76 から 9.0.102 まで、10.1.10 から 10.1.39 まで、11.0.0-M2 から 11.0.5 までの Apache Tomcat に影響します。(CVE-2025-31650)

    Apache Tomcat におけるエスケープ、メタ、または制御シーケンスの不適切な無効化の脆弱性。可能性の低い書き換えルール設定のサブセットでは、特別に細工されたリクエストによって一部の書き換えルールがバイパスされる可能性がありました。これらの書き換えルールがセキュリティ制約を実質的に強制していた場合、それらの制約はバイパスされる可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.5 まで、10.1.0-M1 から 10.1.39 まで、9.0.0.M1 から 9.0.102 まで。(CVE-2025-31651)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2025-965 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Apache Tomcat の不適切な入力検証の脆弱性。一部の無効な HTTP 優先度ヘッダーに対するエラー処理が不適切だったため、失敗したリクエストのクリーンアップが不完全になり、メモリリークが発生しました。このようなリクエストが大量に発生すると、OutOfMemoryException がトリガーされ、サービス拒否が発生する可能性があります。

    この問題は、9.0.76 から 9.0.102 まで、10.1.10 から 10.1.39 まで、11.0.0-M2 から 11.0.5 までの Apache Tomcat に影響します。(CVE-2025-31650)

    Apache Tomcat におけるエスケープ、メタ、または制御シーケンスの不適切な無効化の脆弱性。可能性の低い書き換えルール設定のサブセットでは、特別に細工されたリクエストによって一部の書き換えルールがバイパスされる可能性がありました。これらの書き換えルールがセキュリティ制約を実質的に強制していた場合、それらの制約はバイパスされる可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.5 まで、10.1.0-M1 から 10.1.39 まで、9.0.0.M1 から 9.0.102 まで。(CVE-2025-31651)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2025:01521-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Tomcat 9.0.104に更新します。

    - CVE-2025-31650: 無効な優先度フィールド値は無視されます (bsc#1242008)
    - CVE-2025-31651: リテラル「;」および「?」を含む URL の処理を改善します (bsc#1242009)

    全変更ログ：

    https://tomcat.apache.org/tomcat-9.0-doc/changelog.htm

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4244 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4244-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ: tomcat9 バージョン: 9.0.107-0+deb11u1 CVE ID: CVE-2024-34750 CVE-2024-54677 CVE-2025-31650 CVE-2025-31651 CVE-2025-46701 CVE-2025-48976 CVE-2025-48988 CVE-2025-49125 CVE-2025-52434 CVE-2025-52520 CVE-2025-53506

    Java ベースのウェブサーバーおよびサーブレットエンジンである Tomcat 9 に、複数のセキュリティ脆弱性が見つかりました。特に注目すべき点として、この更新では HTTP/2 接続の処理を改善し、制御されないリソース消費およびサービス拒否につながる可能性のあるさまざまな欠陥を修正します。

    Debian 11 bullseye においては、これらの問題はバージョン 9.0.107-0+deb11u1 で修正されました。

    tomcat9 パッケージをアップグレードすることを推奨します。

    tomcat9 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/tomcat9

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
235925	SUSE SLES15 / openSUSE 15 セキュリティ更新: tomcat10 (SUSE-SU-2025:1537-1)	Nessus	SuSE Local Security Checks	2025/5/14	2025/6/5	high
237531	SUSE SLES15 セキュリティ更新: tomcat10 (SUSE-SU-2025:01537-1)	Nessus	SuSE Local Security Checks	2025/5/30	2025/6/5	high
235033	Apache Tomcat 10.1.0.M1 < 10.1.40 multiple vulnerabilities	Nessus	Web Servers	2025/4/30	2025/8/5	high
235034	Apache Tomcat 9.0.0.M1 < 9.0.104 multiple vulnerabilities	Nessus	Web Servers	2025/4/30	2025/7/15	high
235881	Amazon Linux 2023 : tomcat9, tomcat9-admin-webapps, tomcat9-el-3.0-api (ALAS2023-2025-964)	Nessus	Amazon Linux Local Security Checks	2025/5/13	2025/6/5	high
235893	Amazon Linux 2023 : tomcat10, tomcat10-admin-webapps, tomcat10-el-5.0-api (ALAS2023-2025-965)	Nessus	Amazon Linux Local Security Checks	2025/5/13	2025/6/5	high
237544	SUSE SLES15 Security Update : tomcat (SUSE-SU-2025:01521-1)	Nessus	SuSE Local Security Checks	2025/5/30	2025/6/5	high
242491	Debian dla-4244 : libtomcat9-embed-java - security update	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	high
235033	Apache Tomcat 10.1.0.M1< 10.1.40の複数の脆弱性	Nessus	Web Servers	2025/4/30	2025/8/5	high
235034	Apache Tomcat 9.0.0.M1< 9.0.104の複数の脆弱性	Nessus	Web Servers	2025/4/30	2025/7/15	high
235881	Amazon Linux 2023 : tomcat9、tomcat9-admin-webapps、tomcat9-el-3.0-api (ALAS2023-2025-964)	Nessus	Amazon Linux Local Security Checks	2025/5/13	2025/6/5	high
235893	Amazon Linux 2023 : tomcat10、tomcat10-admin-webapps、tomcat10-el-5.0-api (ALAS2023-2025-965)	Nessus	Amazon Linux Local Security Checks	2025/5/13	2025/6/5	high
237544	SUSE SLES15 セキュリティ更新: tomcat (SUSE-SU-2025:01521-1)	Nessus	SuSE Local Security Checks	2025/5/30	2025/6/5	high
242491	Debian dla-4244: libtomcat9-embed-java - セキュリティ更新	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high