Apache Tomcat 是適用於 Java Servlet 和 JavaServer Pages (JSP) 技術的 Servlet 容器。

在 CVE-2011-3190 及 CVE-2011-2526 描述中所述的 APR (Apache Portable Runtime) 並未參照 apr 套件所提供的 APR。它參照的是由 Tomcat Native 程式庫提供的 APR 的實作，其可支援將 Tomcat 與 APR 搭配使用。Scientific Linux 6 並未隨附此程式庫。這項更新包含的修正，適用於已選擇透過採用不同產品所提供的 Tomcat Native 程式庫，將 Tomcat 與 APR 搭配使用的使用者。

在 Tomcat 處理 HTTP 摘要式驗證的方式中，發現了多個瑕疵。這些瑕疵會造成 Tomcat HTTP 摘要式驗證實作變弱，容易遭受 HTTP BASIC 驗證的某些弱點攻擊，例如會讓遠端攻擊者執行工作階段播放攻擊。(CVE-2011-1184)

在 Coyote (org.apache.coyote.ajp.AjpProcessor) 及 APR (org.apache.coyote.ajp.AjpAprProcessor) Tomcat AJP (Apache JServ Protocol) 連接器處理特定 POST 要求的方式中發現一個瑕疵。攻擊者可傳送特製要求，使得該連接器將訊息內文當作新要求來處理。這樣會導致插入任意 AJP，而可能進一步造成攻擊者繞過 Web 應用程式的驗證檢查，獲得其無法以其他方式存取的資訊的存取權限。當 APR 程式庫不存在時，則預設使用 JK (org.apache.jk.server.JkCoyoteHandler) 連接器。JK 連接器未受到此瑕疵的影響。(CVE-2011-3190)

在 Tomcat MemoryUserDatabase 中發現一個瑕疵。透過 JMX 用戶端建立新使用者時，若發生執行階段例外狀況，該使用者的密碼將記錄於 Tomcat 記錄檔。注意：依照預設，只有系統管理員才能存取這類記錄檔。(CVE-2011-2204)

當使用 HTTP APR 或 NIO (非封鎖 I/O) 連接器時，在 Tomcat 處理 sendfile 要求屬性的方式中發現一個瑕疵。在 Tomcat 執行個體上執行的惡意 Web 應用程式可使用此瑕疵來繞過安全性管理員限制，取得原本無法存取的檔案之存取權，或是可能終止 Java 虛擬機器 (JVM)。HTTP 封鎖 IO (BIO) 連接器不會受到此問題的影響，依預設會用於 Scientific Linux 6 中。(CVE-2011-2526)

此更新也可修正下列錯誤：

- 先前，在特定情況下，如果 'LANG=fr_FR' 或 'LANG=fr_FR.UTF-8' 被設為環境變數，或位於 64 位元 PowerPC 系統的 '/etc/sysconfig/tomcat6' 中，則無法正確啟動 Tomcat。使用此更新，當 LANG 設為 'fr_FR' 或 'fr_FR.UTF-8' 時，即可依預期運作 Tomcat。

Tomcat 的使用者應升級至這些更新版套件，其中包含可解決這些問題的反向移植修補程式。必須重新啟動 Tomcat，此更新才能生效。

遠端 Oracle Linux 6 主機中安裝的套件受到 ELSA-2011-1780 公告中提及的多個弱點影響。

    [0:6.0.24-35]
    - 解決：cve-2011-3190
    - 解決：cve-2011-2204
    - 解決：cve-2011-2526
    - 解決：cve-2011-1184
    - 解決rhbz 748807 - LANG=fr 時tomcat6 損毀

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 JBoss Enterprise Web Server 1.0.2 for Red Hat Enterprise Linux 5 和 6 的更新版 tomcat6 套件，可修正多個安全性問題和三個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Apache Tomcat 是一個 Servlet 容器。

JBoss Enterprise Web Server 隨附 Tomcat 原生程式庫，可提供適用於 Tomcat 的 Apache Portable Runtime (APR) 支援。此文字中的 APR 參照指的是 Tomcat 原生實作，並非任何其他 apr 套件。

此更新可修正 JBPAPP-4873、JBPAPP-6133 和 JBPAPP-6852 錯誤。
此外，還可修正下列安全性問題：

存在多個削弱 Tomcat HTTP 摘要式驗證實作強度的瑕疵，使其容易遭受 HTTP BASIC 驗證的某些弱點影響，例如允許遠端攻擊者執行工作階段重播攻擊。(CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、CVE-2011-5064)

在 Coyote (org.apache.coyote.ajp.AjpProcessor) 及 APR (org.apache.coyote.ajp.AjpAprProcessor) Tomcat AJP (Apache JServ Protocol) 連接器處理特定 POST 要求的方式中發現一個瑕疵。攻擊者可傳送特製要求，使得該連接器將訊息內文當作新要求來處理。這樣會導致插入任意 AJP，而可能進一步造成攻擊者繞過 Web 應用程式的驗證檢查，獲得其無法以其他方式存取的資訊的存取權限。當 APR 程式庫不存在時，則預設使用 JK (org.apache.jk.server.JkCoyoteHandler) 連接器。JK 連接器未受到此瑕疵的影響。(CVE-2011-3190)

Tomcat 在發生特定錯誤並回收含有使用者要求資料的物件 (例如 IP 位址和 HTTP 標頭) 時，所用的方式有一個瑕疵。若使用者傳送可使系統記錄錯誤的要求，Tomcat 在回傳回覆給下一個要求時，會隨附來自第一個使用者要求中的資料，進而導致資訊洩漏。在某些情況下，遠端攻擊者可利用此瑕疵劫持工作階段。(CVE-2011-3375)

Java hashCode() 方法實作容易受到可預測的雜湊衝突影響。遠端攻擊者可利用這個瑕疵，透過傳送含有名稱對應到相同雜湊值之大量參數的 HTTP 要求，造成 Tomcat 使用過多的 CPU 時間。這個更新會導入每個要求所要處置參數數目的上限，以減輕這個問題。預設參數數目上限為 512，標頭數目上限為 128。設定 org.apache.tomcat.util.http.Parameters.MAX_COUNT 及 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系統內容，便可更改這些預設值。
(CVE-2011-4858)

Tomcat 未有效處理大量參數和大型參數值。遠端攻擊者可透過傳送含有大量參數或大參數值的 HTTP 要求，造成 Tomcat 使用過多的 CPU 時間。這個更新會導入每個要求所要處置參數和標頭的數目上限，以解決這個問題。請參閱 CVE-2011-4858 描述來瞭解有關 org.apache.tomcat.util.http.Parameters.MAX_COUNT 及 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系統內容的資訊。
(CVE-2012-0022)

Tomcat MemoryUserDatabase 中有一個瑕疵。透過 JMX 用戶端建立新使用者時，若發生執行階段例外狀況，該使用者的密碼將記錄於 Tomcat 記錄檔。注意：依照預設，只有系統管理員才能存取這類記錄檔。(CVE-2011-2204)

使用 HTTP APR 或 NIO (非封鎖 I/O) 連接器時，在 Tomcat 處理 sendfile 要求屬性的方式中發現一個瑕疵。在 Tomcat 執行個體上執行的惡意 Web 應用程式可使用此瑕疵來繞過安全性管理員限制，取得原本無法存取的檔案之存取權，或是可能終止 Java 虛擬機器 (JVM)。在 JBoss Enterprise Web Server 中預設使用 HTTP NIO 連接器。(CVE-2011-2526)

Red Hat 要感謝 oCERT 報告 CVE-2011-4858，以及 Apache Tomcat 專案報告 CVE-2011-2526。oCERT 確認 Julian Wälde 和 Alexander Klink 是 CVE-2011-4858 問題的原始報告者。

遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2011:1845 公告中提及的多個弱點影響。

  - tomcat：檔案權限繞過瑕疵 (CVE-2010-3718)

  - tomcat：HTML Manager 介面中的 XSS 弱點 (CVE-2011-0013)

  - tomcat：HTTP 摘要式驗證中有多個弱點 (CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、CVE-2011-5064)

  - tomcat：密碼洩漏弱點 (CVE-2011-2204)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote host is running a version of Mac OS X 10.7 that is older than version 10.7.3.  The newer version contains numerous security-related fixes for the following components :

  - Address Book
  - Apache
  - ATS
  - CFNetwork
 - CoreMedia
 - CoreText
 - CoreUI
 - curl
 - Data Security
 - dovecot
 - filecmds
 - ImageIO
 - Internet Sharing
 - Libinfo
 - libresolv
 - libsecurity
 - OpenGL
 - PHP
 - QuickTime
 - Subversion
 - Time Machine
 - WebDAV Sharing
 - Webmail
 - X11

According to its self-reported version number, the instance of Apache Tomcat 7.x listening on the remote host is prior to 7.0.17. It is, therefore, affected by the following vulnerabilities:

 - An error handling issue exists related to the MemoryUserDatabase that allows user passwords to be disclosed through log files. (CVE-2011-2204)

 - If loaded before other web applications, a malicious web application can potentially access or modify the web.xml, context.xml, and TLD files of other web applications on the system. (CVE-2011-2481)

 - An input validation error exists that allows a local attacker to either bypass security or carry out denial of service attacks when the APR or NIO connectors are enabled. (CVE-2011-2526)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

According to its self-reported version number, the instance of Apache Tomcat 6.0.x listening on the remote host is prior to 6.0.33. It is, therefore, affected by multiple vulnerabilities:

- Several weaknesses were found in the HTTP Digest authentication implementation. The issues are as follows: replay attacks are possible, server nonces are not checked, client nonce counts are not checked, 'quality of protection' (qop) values are not checked, realm values are not checked and the server secret is a hard-coded, known string. The effect of these issues is that Digest authentication is no stronger than Basic authentication. (CVE-2011-1184, CVE-2011-5062, CVE-2011-5063, CVE-2011-5064)

 - An error handling issue exists related to the MemoryUserDatabase that allows user passwords to be disclosed through log files. (CVE-2011-2204)

 - An input validation error exists that allows a local attacker to either bypass security or carry out denial of service attacks when the APR or NIO connectors are enabled. (CVE-2011-2526)

 - A component that Apache Tomcat relies on called 'jsvc' contains an error in that it does not drop capabilities after starting and can allow access to sensitive files owned by the super user. Note this vulnerability only affects Linux operating systems and only when the following are true: jsvc is compiled with libpcap and the '-user' parameter is used. (CVE-2011-2729)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

Versions of Tomcat 6.x earlier than 6.0.33 are potentially affected by multiple vulnerabilities : 

  - An error handling issue exists related to the MemoryUserDatabase that allows user passwords to be disclosed through log files. (CVE-2011-2204)

  - An input validation error exists that allows a local attacker to either bypass security or carry out denial of service attacks when the APR or NIO connectors are enabled. (CVE-2011-2526)

  - A component that Apache Tomcat relies on called 'jsvc' contains an error in that it does not drop capabilities after starting and can allow access to sensitive files owned by the super user.  Note this vulnerability only affects Linux operating systems and only when the following are true:  jsvc is compiled with libpcap and the '-user' parameter is used. (CVE-2011-2729)

Versions of Tomcat 7.0.x earlier than 7.0.19 are potentially affected by multiple vulnerabilities : 

  - An issue exists in the error handling related to the MemoryUserDatabase that allows user passwords to be disclosed through log files. (CVE-2011-2204)

  - An input validation issue exists that allows a local attacker to either bypass security or carry out denial of service attacks when the APR or NIO connectors are enabled. (CVE-2011-2526)

ID	名稱	產品	系列	已發布	已更新	嚴重性
61184	Scientific Linux 安全性更新：SL6.x 上的 tomcat6	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
68399	Oracle Linux 6：tomcat6 (ELSA-2011-1780)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	high
78925	RHEL 5 / 6：JBoss Web Server (RHSA-2012:0682)	Nessus	Red Hat Local Security Checks	2014/11/8	2024/4/27	high
57356	RHEL 5：tomcat5 (RHSA-2011:1845)	Nessus	Red Hat Local Security Checks	2011/12/21	2024/4/21	medium
6303	Mac OS X 10.7 < 10.7.3 Multiple Vulnerabilities	Nessus Network Monitor	Generic	2012/2/6	2019/3/6	critical
5996	Apache Tomcat 7.0.x < 7.0.17 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2011/8/1	2019/3/6	high
6018	Apache Tomcat 6.0.x < 6.0.33 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2011/8/30	2019/3/6	medium
800602	Apache Tomcat 6.0.x < 6.0.33 Multiple Vulnerabilities	Log Correlation Engine	Web Servers	2011/8/30		medium
800597	Apache Tomcat 7.0.x < 7.0.19 Multiple Vulnerabilities	Log Correlation Engine	Web Servers	2011/8/1		medium

偵測

搜尋 Plugin

high

high

high

medium

critical

high

medium

medium

medium