遠端主機上安裝的 Tomcat 版本低於 11.0.11。因此會受到 fixed_in_apache_tomcat_11.0.11_security-11 公告中所提及的多個弱點影響。

  - Apache Tomcat 中的相對路徑遊走弱點。錯誤 60013 的修正引入了回歸其中重寫的 URL 在其解碼之前先標準化。這引入了一種可能性使得對於將查詢參數重寫至 URL 的重寫規則攻擊者可操控要求 URI 以繞過安全性限制包括 /WEB-INF/ 和 /META-INF/ 的保護。如果也啟用 PUT 要求則可上傳惡意檔案導致遠端程式碼執行。PUT 要求通常限於受信任的使用者且 PUT 要求不太可能與操控 URI 的重寫一起啟用。此問題會影響 Apache Tomcat 從 11.0.0-M1 到 11.0.10、從 10.1.0-M1 到 10.1.44、從 9.0.0。M11 至 9.0.108。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.6 至 8.5.100。其他較舊的停產版本也可能受到影響。建議使用者升級至 11.0.11 或更新版本、 10.1.45 或更新版本或 9.0.109 或更新版本其可修正此問題。 (CVE-2025-55752)

  - Apache Tomcat 中存在逸出、中繼或控制序列不當中和的弱點。Tomcat 未逸出記錄訊息中的 ANSI 逸出序列。如果 Tomcat 是在 Windows 作業系統的主控台中執行且主控台支援 ANSI 逸出序列攻擊者就可能使用特製 URL 來插入 ANSI 逸出序列以操控主控台和剪貼簿並嘗試誘騙管理員執行攻擊者控制的命令。由於未發現攻擊媒介因此可能可以在其他作業系統上掛載此攻擊。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.10 (含)、10.1.0-M1 至 10.1.44 (含)、9.0.40 至 9.0.108 (含)。下列版本在建立 CVE 時已停產，但已知會受到影響：
    8.5.60 至 8.5.100。其他較舊的停產版本也可能受到影響。建議使用者升級至 11.0.11 或更新版本、 10.1.45 或更新版本或 9.0.109 或更新版本其可修正此問題。 (CVE-2025-55754)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2025：1767098873 公告中提及的弱點影響。

  - Apache Tomcat 中的相對路徑遊走弱點。錯誤 60013 的修正引入了回歸，其中重寫的 URL 在解碼之前經過標準化。這導致了潛在風險：對於將查詢參數重寫至 URL 的重寫規則，攻擊者可以操控要求 URI，以繞過 /WEB-INF/ 和 /META-INF/ 的保護等安全性限制。如果也啟用了 PUT 要求，則攻擊者還可上傳惡意檔案，導致遠端程式碼執行。PUT 要求通常限於受信任的使用者，且 PUT 要求不太可能與操控 URI 的重寫一起啟用。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.10、10.1.0-M1 至 10.1.44、9.0.0.M11 至 9.0.108。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.6 至 8.5.100。其他較舊的停產版本也可能受到影響。建議使用者升級至 11.0.11 或更新版本、10.1.45 或更新版本、9.0.109 或更新版本，即可修正此問題。(CVE-2025-55752)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 9 主機已安裝的套件會受到 CIQ crlsa-2025_23049 公告中提及的多個弱點影響。

    * tomcat：Apache Tomcat：Rewrite Valve 中的規則繞過問題 (CVE-2025-31651)

    * tomcat：org.apache.tomcat/tomcat-catalina：Apache Tomcat：透過重寫造成目錄遊走問題並可能導致 RCE 攻擊 (CVE-2025-55752)

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2025：1765903038 公告中所述弱點影響。

  - Apache Tomcat 中的相對路徑遊走弱點。錯誤 60013 的修正引入了回歸，其中重寫的 URL 在解碼之前經過標準化。這導致了潛在風險：對於將查詢參數重寫至 URL 的重寫規則，攻擊者可以操控要求 URI，以繞過 /WEB-INF/ 和 /META-INF/ 的保護等安全性限制。如果也啟用了 PUT 要求，則攻擊者還可上傳惡意檔案，導致遠端程式碼執行。PUT 要求通常限於受信任的使用者，且 PUT 要求不太可能與操控 URI 的重寫一起啟用。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.10、10.1.0-M1 至 10.1.44、9.0.0.M11 至 9.0.108。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.6 至 8.5.100。其他較舊的停產版本也可能受到影響。建議使用者升級至 11.0.11 或更新版本、10.1.45 或更新版本、9.0.109 或更新版本，即可修正此問題。(CVE-2025-55752)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機上安裝的多個套件受到 dsa-6121 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-6121-1 security@debian.org https://www.debian.org/security/Markus Koschany 2026 年 2 月 5 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：tomcat11 CVE ID：CVE-2025-46701 CVE-2025-48976 CVE-2025-48988 CVE-2025-48989 CVE-2025-49125 CVE-2025-52520 CVE-2025-53506 CVE-2025-55668 CVE-2025-55752 CVE-2025-55754 CVE-2025-61795 Debian 錯誤：1106821 1108118 1108116 1111096 1108114 1109111 1109113 1111098


    在 Java Web 伺服器和 servlet 引擎 Tomcat 11 中發現多個安全性弱點。此次更新改善了 HTTP/2 連線的處理方式，並更正了多個可能導致不受控制資源消耗和拒絕服務的缺陷。

    針對穩定的發行版本 (trixie)，已在 11.0.15-1~deb13u1 版中修復這些問題。

    建議您升級 tomcat11 套件。

    如需有關 tomcat11 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/tomcat11

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
271693	Apache Tomcat 11.0.0.M1 < 11.0.11 多個弱點	Nessus	Web Servers	2025/10/27	2026/3/3	high
352353	AlmaLinux 9.6 [TuxCare] 安全性更新：tomcat / tomcat-admin-webapps / tomcat-docs-webapp / etc （ALMALINUX9.6：CLSA-2025：1767098873）	Nessus	Alma Linux Local Security Checks	2026/9/30	2026/9/30	high
354468	Rocky Linux 9 [CIQ] 安全性更新：tomcat / tomcat-admin-webapps / tomcat-docs-webapp / etc 多個弱點（crlsa-2025_23049）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
359619	AlmaLinux 9.2 [TuxCare] 安全性更新：tomcat / tomcat-admin-webapps / tomcat-docs-webapp / etc （ALMALINUX9.2：CLSA-2025：1765903038）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	high
298161	Debian dsa-6121：libtomcat11-embed-java - 安全性更新	Nessus	Debian Local Security Checks	2026/2/5	2026/3/3	high

偵測

搜尋 Plugin

high

high

high

high

high