此 tomcat 更新可修复下列问题：

Tomcat 8 已从 8.0.23 更新到 8.0.32，修复了缺陷和安全问题。

修复了安全问题：

- CVE-2015-5174：在 Apache Tomcat 的 RequestUtil.java 中发现一个目录遍历漏洞，其允许经认证的远程用户绕过预期 SecurityManager 限制，并通过 /.. 列出父目录
 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名称中的 /..（斜线点点），这一点已由 $CATALINA_BASE/webapps 目录证实。(bsc#967967)

- CVE-2015-5346：当不同的会话设置用于部署多个版本的相同 Web 应用程序时，Apache Tomcat 中的会话固定漏洞可能允许远程攻击者利用非预期请求的 requestedSessionSSL 字段，劫持 Web 会话，这与 CoyoteAdapter.java 和 Request.java 有关。
 (bsc#967814)

- CVE-2015-5345：Apache Tomcat 中的 Mapper 组件在考虑安全限制和筛选器之前，便处理重定向，其允许远程攻击者通过缺少结尾 /（斜杠）字符的 URL，确定目录是否存在。(bsc#967965)

- CVE-2015-5351：Apache Tomcat 中的 (1) Manager 和 (2) Host Manager 应用程序可建立会话，并发送 CSRF 标记以用于任意新请求，其允许远程攻击者使用标记绕过 CSRF 保护机制。(bsc#967812)

- CVE-2016-0706：Apache Tomcat 未将 org.apache.catalina.manager.StatusManagerServlet 放置于 org/apache/catalina/core/RestrictedServlets.properties 列表，其允许经认证的远程用户通过构建的 Web 应用程序，绕过预期 SecurityManager 限制并读取任意 HTTP 请求，进而发现会话 ID 值。(bsc#967815)

- CVE-2016-0714：Apache Tomcat 中的会话持久性实现错误处理会话属性，其允许经认证的远程用户通过 Web 应用程序，在会话中放置构建的对象，进而绕过预期 SecurityManager 限制，并在特权上下文中执行任意代码。(bsc#967964)

- CVE-2016-0763：在 Apache Tomcat 的 org/apache/naming/factory /ResourceLinkFactory.java 中，setGlobalContext 方法未考虑 ResourceLinkFactory.setGlobalContext 调用器是否获得授权，其允许经认证的远程用户通过设置构建的全局上下文的 Web 应用程序，绕过预期 SecurityManager 限制，并读取或写入任意应用程序数据，或造成拒绝服务（应用程序中断）。
 (bsc#967966)

有关完整的变更，请参阅：
http://tomcat.apache.org/tomcat-8.0-doc/changelog.html

此更新从 SUSE:SLE-12-SP1:Update 更新项目导入。

远程主机受到 GLSA-201705-09 中所述漏洞的影响（Apache Tomcat：多个漏洞）在 Tomcat 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可能可以造成拒绝服务条件以及获得敏感信息、绕过保护机制和认证限制。已是 tomcat 系统用户或属于 tomcat 群组的本地攻击者可能可提升权限。解决方法：目前无任何已知的解决方法。

根据其自我报告的版本号，远程主机上运行的 Apache Tomcat 服务器为低于 6.0.45 的 6.0.x。因此，它受到多种漏洞的影响：

- getResource()、getResourceAsStream() 和 getResourcePaths() ServletContext 方法中存在一个信息泄露漏洞，这是因为未正确审查用户提供的输入所导致。未经认证的远程攻击者可利用此漏洞，通过构建的路径遍历请求，取得列出目录内容的访问权。(CVE-2015-5174)

- 存在一个信息泄露漏洞，这是因为处理缺少结尾斜线的目录请求时，无法强制执行访问限制所致。未经认证的远程攻击者可利用此问题枚举有效目录。(CVE-2015-5345)

- 存在一个信息泄露漏洞，允许特别构建的 Web 应用程序加载 StatusManagerServlet。攻击者可利用此问题，在未授权的情况下访问所有部署的应用程序列表，以及当前正在处理的所有请求的 HTTP 请求行列表。(CVE-2016-0706)

- 存在一个安全绕过漏洞，这是因为处理持续会话时触发的 StandardManager、PersistentManager 和群集实现中的缺陷所致。未经认证的远程攻击者可利用此漏洞，通过会话中特别构建的对象，绕过安全管理员和执行任意代码。
 (CVE-2016-0714)

请注意，Nessus 并不试图利用这些问题，而只依赖于应用程序自我报告的版本号。

ResourceLinkFactory.setGlobalContext() 是一种公共方法，已发现可通过在 Security Manager 下运行的 Web 应用程序访问该方法，且无须经过任何检查。这允许恶意 Web 应用程序注入恶意的全局上下文，这些上下文反过来可用于破坏其他 Web 应用程序和/或读取及写入其他 Web 应用程序所拥有的数据。(CVE-2016-0763)

经发现 Manager 和 Host Manager 应用程序可以为任意新请求建立会话并发送 CSRF 令牌，这就使得远程攻击者可以利用此令牌绕过 CSRF 保护机制。(CVE-2015-5351)

Mapper 组件在考虑安全限制和筛选器之前，便处理重定向，其允许远程攻击者通过缺少结尾 /（斜杠）字符的 URL，确定目录是否存在。(CVE-2015-5345)

经发现，会话持久性实现对会话属性处理不当，这就使得经过身份认证的远程用户可以通过在会话中放置构建对象的 Web 应用程序，绕过预期 SecurityManager 限制，并在有特权的上下文中执行任意代码。(CVE-2016-0714)

已发现 org.apache.catalina.manager.StatusManagerServlet 未放置于 org/apache/catalina/core/RestrictedServlets.properties 列表，其允许经认证的远程用户通过构建的 Web 应用程序，绕过预期 SecurityManager 限制并读取任意 HTTP 请求，进而发现会话 ID 值。
(CVE-2016-0706)

在 RequestUtil.java 中发现一个目录遍历漏洞，其允许经认证的远程用户绕过预定的 SecurityManager 限制，并通过
Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名称中的 /.. (斜线点点) 列出父目录。
(CVE-2015-5174)

Mapper 组件在考虑安全限制和筛选器之前，便处理重定向，其允许远程攻击者通过缺少结尾 /（斜杠）字符的 URL，确定目录是否存在。(CVE-2015-5345)

经发现，会话持久性实现对会话属性处理不当，这就使得经过身份认证的远程用户可以通过在会话中放置构建对象的 Web 应用程序，绕过预期 SecurityManager 限制，并在有特权的上下文中执行任意代码。(CVE-2016-0714)

已发现 org.apache.catalina.manager.StatusManagerServlet 未放置于 org/apache/catalina/core/RestrictedServlets.properties 列表，其允许经认证的远程用户通过构建的 Web 应用程序，绕过预期 SecurityManager 限制并读取任意 HTTP 请求，进而发现会话 ID 值。
(CVE-2016-0706)

According to its self-reported version number, the Apache Tomcat instance listening on the remote host is prior to 6.0.45 / 7.0.68 / 8.0.30. It is, therefore, affected by an information disclosure vulnerability:

 - An information disclosure vulnerability exists due to a failure to enforce access restrictions when handling directory requests that are missing trailing slashes. An unauthenticated, remote attacker can exploit this to enumerate valid directories. (CVE-2015-5345)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Apache Tomcat installed on the remote host is version 9.0.x prior to 9.0.0.M3. It is, therefore, affected by multiple vulnerabilities :

 - An information disclosure vulnerability exists due to a failure to enforce access restrictions when handling directory requests that are missing trailing slashes. An unauthenticated, remote attacker can exploit this to enumerate valid directories. (CVE-2015-5345)
 - A flaw exists due to a failure to invalidate a previous session ID when assigning an ID to a new session. An attacker can exploit this, via a crafted request that uses the requestedSessionSSL field to fixate the session ID, to ensure that the user authenticates with a known session ID, allowing the session to be subsequently hijacked. (CVE-2015-5346)
 - An information disclosure vulnerability exists in the Manager and Host Manager web applications due to a flaw in the index page when issuing redirects in response to unauthenticated requests for the root directory of the application. An unauthenticated, remote attacker can exploit this to gain access to the XSRF token information stored in the index page. (CVE-2015-5351)
 - An information disclosure vulnerability exists that allows a specially crafted web application to load the StatusManagerServlet. An attacker can exploit this to gain unauthorized access to a list of all deployed applications and a list of the HTTP request lines for all requests currently being processed. (CVE-2016-0706)
 - A security bypass vulnerability exists due to a flaw in the StandardManager, PersistentManager, and cluster implementations that is triggered when handling persistent sessions. An unauthenticated, remote attacker can exploit this, via a crafted object in a session, to bypass the security manager and execute arbitrary code. (CVE-2016-0714)
 - A flaw exists due to the setGlobalContext() method of ResourceLinkFactory being accessible to web applications even when run under a security manager. An unauthenticated, remote attacker can exploit this to inject malicious global context, allowing data owned by other web applications to be read or written to. (CVE-2016-0763)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
90136	openSUSE 安全更新：tomcat (openSUSE-2016-384)	Nessus	SuSE Local Security Checks	2016/3/24	2021/1/19	high
100262	GLSA-201705-09：Apache Tomcat：多个漏洞	Nessus	Gentoo Local Security Checks	2017/5/18	2021/1/11	critical
88935	Apache Tomcat 6.0.x < 6.0.45 多种漏洞	Nessus	Web Servers	2016/2/24	2024/5/6	high
90273	Amazon Linux AMI：tomcat7 (ALAS-2016-680)	Nessus	Amazon Linux Local Security Checks	2016/4/1	2018/4/18	high
90274	Amazon Linux AMI：tomcat6 (ALAS-2016-681)	Nessus	Amazon Linux Local Security Checks	2016/4/1	2018/4/18	high
9316	Apache Tomcat 6.0.x < 6.0.45 / 7.0.x < 7.0.68 / 8.0.x < 8.0.30 Directory Traversal	Nessus Network Monitor	Web Servers	2016/5/24	2019/3/6	medium
700699	Apache Tomcat 9.0.x < 9.0.0.M3 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	medium

偵測

搜尋 Plugin

high

critical

high

high

high

medium

medium