WebSocketクライアントでTLSを使用するとき、ホスト名検証がありませんでした。現在はデフォルトで有効になっています。影響を受けるバージョン：Apache Tomcat 9.0.0.M1から9.0.9、8.5.0から8.5.31、8.0.0.RC1から8.0.52、7.0.35から7.0.88。（CVE-2018-8034）セキュリティ制約定義の一部として使用された場合、Apache Tomcat 9.0.0.M1から9.0.4、8.5.0から8.5.27、8.0.0.RC1から8.0.49、7.0.0から7.0.84では、コンテキストルートに正確にマップされる''（空文字列）のURLパターンが正しく処理されませんでした。これにより、制約が無視されました。そのため、権限のないユーザーが、保護されていたはずのWebアプリケーションリソースにアクセスできる可能性がありました。空の文字列のURLパターンを持つセキュリティ制約のみが影響を受けます。（CVE-2018-1304）Apache Tomcat 9.0.0.M1から9.0.4、8.5.0から8.5.27、8.0.0.RC1から8.0.49、7.0.0から7.0.84で、Servletのアノテーションにより定義されるセキュリティ制約は、Servletが読み込まれた後にのみ適用されていました。このように定義されたセキュリティ制約は、URLパターンとそのポイント以下のURLに適用されるため、サーブレットのロード順序によっては、セキュリティ制約が適用されないこともありました。これにより、アクセス権のないユーザーにリソースが開示される可能性がありました。（CVE-2018-1305）Apache Tomcat 9.0.0.M1から9.0.8、8.5.0から8.5.31、8.0.0.RC1から8.0.52、7.0.41から7.0.88で提供されるCORSフィルターのデフォルト設定は安全ではなく、すべてのオリジンに対して「supportsCredentials」を有効にします。CORSフィルターのユーザーは、デフォルト構成で使用するのではなく、環境に合わせて適切に構成する必要があります。したがって、ほとんどのユーザーはこの問題の影響は受けないと見込まれます。（CVE-2018-8014）Apache JServ Protocol（AJP）を使用する場合、Apache Tomcatの受信接続を信頼するときには注意が必要です。Tomcatでは、AJP接続を同様のHTTP接続などに比べて信頼度が高いものとして処理します。そのような接続が攻撃者に使用可能となった場合、意外な方法で悪用される可能性があります。Apache Tomcat 9.0.0.M1から9.0.0.30、8.5.0から8.5.50、7.0.0から7.0.99では、Tomcat は、すべての設定済みIPアドレスでリッスンするAJPコネクタをデフォルトで有効にして出荷しました。このコネクタは不要時には無効化することが望まれます（セキュリティガイドでは推奨されます）。この脆弱性レポートでは以下を許可するメカニズムを識別しました。- Webアプリケーション内の任意の場所から任意のファイルを返す - Webアプリケーションの任意のファイルをJSPとして処理する。さらに、Webアプリケーションがファイルアップロードを許可し、これらのファイルをWebアプリケーション内に保存する（または攻撃者が何らかの別の手段でWebアプリケーションのコンテンツを制御できる）場合、これは、ファイルをJSPとして処理する機能とともに、リモートコード実行を可能にしました。AJPポートが信頼できないユーザーにアクセス可能である場合にのみ、緩和策が必要であることに注意してください。多層防御手法を採用して、任意のファイルを返しJSPとして実行する許可を与えるベクトルをブロックする必要があるユーザーは、Apache Tomcat 9.0.31、8.5.51、または7.0.100以降にアップグレードできます。9.0.31のデフォルトのAJPコネクタ設定には複数の変更が施され、デフォルトの設定が強化されました。9.0.31、8.5.51、または7.0.100以降にアップグレードするユーザーは、その設定にわずかな変更を加える必要がある可能性があります。（CVE-2020-1938）このCVEに対する修正の一部として、アップストリームの変更に合わせる形で、デフォルト設定のTomcat 2019 AJPコネクタが無効化されています。この変更によって、（AJPコネクタがこれまで有効化されていた）デフォルトのTomcat設定を使用するユーザーは、必要に応じてコネクタを明示的に再度有効化する必要があります。また、明示的なアドレスがなく設定されたコネクタは、ループバックアドレスにのみバインドされます。tomcat8およびtomcat7の更新前後のnetstatからの出力例は以下のとおりです（tomcat7およびtomcat8のどちらもAL1およびAL2について同じである点に注意してください）。AL2 tomcat8.5：before：tcp6 0 0 :::8009 :::* LISTEN 25772/java tcp6 0 0 :::8080 :::* LISTEN 25772/java tcp6 0 0 127.0.0.1:8005 :::* LISTEN 25772/java After : tcp6 0 0 :::8080 :::* LISTEN 25772/java tcp6 0 0 127.0.0.1:8005 :::* LISTEN 25772/java TomcatのAJPポートを再有効化するには、次の手順に従います：1）AL2コア（tomcat7）の場合：/etc/tomcat/server.xmlの次の行のコメントを解除しサービスを再起動します  2）AL2 Tomcat8.5 extraの場合：/etc/tomcat/server.xmlの次の行のコメントを解除しサービスを再起動します  以下も参照してください：Apache Tomcatリリースノート Tomcat 7 <a href='http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_ 8.5.51'>Tomcat 8 RedHat <a href='https://access.redhat.com/solutions/4851251'>ソリューション

遠端 Redhat Enterprise Linux 6/7 主機上安裝的套件受到 RHSA-2018:2469 公告中提及的多個弱點影響。

    Red Hat JBoss Web Server 是一組已完全整合並經過認證的元件，可用於主控 Java Web 應用程式。它由 Apache HTTP Server、Apache Tomcat Servlet 容器、Apache Tomcat Connector (mod_jk)、JBoss HTTP Connector (mod_cluster)、Hibernate 和 Tomcat Native 程式庫所組成。

    此 Red Hat JBoss Web Server 3.1 Service Pack 4 版本是 Red Hat JBoss Web Server 3.1 的替代項目，其中包含錯誤修正，詳情請前往〈參照〉中的「版本資訊」連結。

    安全性修正:

    * tomcat：CORS 篩選器中的不安全預設值對所有來源啟用 'supportsCredentials' (CVE-2018-8014)

    * tomcat-native未正確處理 OCSP 的無效回應 (CVE-2018-8019)

    * tomcat-native未正確處理的 OCSP 回應允許用戶端使用已撤銷的憑證進行驗證 (CVE-2018-8020)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    下列套件已升級至更新的上游版本：
    * OpenSSL (1.0.2n)
    * APR (1.6.3)

    CVE-2018-8019 和 CVE-2018-8020 是由 Coty Sutherland (Red Hat) 所發現的。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

來自 Red Hat 安全性公告 2019:1529： 現已提供適用於 Red Hat Enterprise Linux 8 的 pki-deps:10.6 模組更新。 Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 公開金鑰基礎架構 (PKI) Deps 模組含有 Red Hat Certificate System 的 pki-core 模組相依性所需的基礎套件。 安全性修正： * tomcat：由於 NIO/NIO2 連接器中錯誤處理的關閉，可能會造成使用者工作階段混亂 (CVE-2018-8037) * tomcat：CORS 篩選器中的不安全預設值對所有來源啟用 'supportsCredentials' (CVE-2018-8014) * tomcat：預設 servlet 中的開放重新導向 (CVE-2018-11784) * tomcat：WebSocket 用戶端中缺少主機名稱驗證 (CVE-2018-8034) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

安全性修正：- tomcat：在安全性條件約束中錯誤處理空白字串 URL 會導致資源意外洩露 (CVE-2018-1304) - tomcat：安全性條件約束若過晚應用，會導致資源洩露給未經授權的使用者 (CVE-2018-1305) - tomcat：CORS 篩選器中不安全的預設值為所有來源啟用「supportsCredentials」(CVE-2018-8014) - tomcat：WebSocket 用戶端缺少主機名稱驗證 (CVE-2018-8034)

現已提供適用於 Red Hat Enterprise Linux 7 的 tomcat 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Apache Tomcat 是適用於 Java Servlet 和 JavaServer Pages (JSP) 技術的 Servlet 容器。安全性修正：* tomcat：在安全性條件約束中錯誤處理空白字串 URL 會導致資源意外洩露 (CVE-2018-1304) * tomcat：安全性條件約束若過晚應用，會導致資源洩露給未經授權的使用者 (CVE-2018-1305) * tomcat：CORS 篩選器中不安全的預設值為所有來源啟用「supportsCredentials」(CVE-2018-8014) * tomcat：WebSocket 用戶端缺少主機名稱驗證 (CVE-2018-8034) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 7.7 版本資訊。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2019: 1529 公告中提及的多個弱點影響。

  - tomcat：預設 servlet 中的開放重新導向 (CVE-2018-11784)

  - tomcat：CORS 篩選器中的不安全預設值對所有來源啟用 'supportsCredentials' (CVE-2018-8014)

  - tomcat：WebSocket 用戶端中缺少主機名稱驗證 (CVE-2018-8034)

  - tomcat：由於 NIO/NIO2 連接器中錯誤處理的關閉，可能會造成使用者工作階段混亂 (CVE-2018-8037)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

使用 TLS 搭配 WebSocket 用戶端時，缺少主機名稱驗證。此項現在預設為啟用。受影響的版本：Apache Tomcat 9.0.0.M1 至 9.0.9、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52 和 7.0.35 至 7.0.88。(CVE-2018-8034) 當安全性限制定義中使用到完全對應至內容 root 的 ‘’ (空白字串) URL 模式時，Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 並未做正確的處理。這會造成條件約束被忽略。因此未經授權的使用者可存取應該受到保護的 Web 應用程式資源。只有具有空白字串之 URL 模式的安全性條件約束會受到影響。(CVE-2018-1304) 由 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 中的 Servlet 註解定義的安全性條件約束，僅在載入 Servlet 後才會套用。以此方式定義的安全性條件約束會套用到 URL 模式以及該點之下的任何 URL，因此可能會根據載入 Servlet 的順序，而沒有套用部分安全性條件約束。這可能導致向未獲存取授權的使用者洩漏資源。(CVE-2018-1305) Apache Tomcat 9.0.0.M1 至 9.0.8、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52、7.0.41 至 7.0.88 中提供的 CORS 篩選器預設設定不安全，而且會針對所有來源啟用「supportsCredentials」。預計 CORS 篩選器的使用者將針對其環境對其進行適當設定，而非在預設組態中使用。因此，預期大多數使用者將不受此問題影響。(CVE-2018-8014) 使用 Apache JServ Protocol (AJP) 時，信任連至 Apache Tomcat 的內傳連線時請務必謹慎。例如，Tomcat 認為 AJP 連線的可信度比類似的 HTTP 連線高。如果攻擊者可利用此類連線，這些連線就會以非正常的方式遭到惡意利用。在 Apache Tomcat 9.0.0.M1 至 9.0.0.30、8.5.0 至 8.5.50 和 7.0.0 至 7.0.99 中，Tomcat 出貨時已預設啟用會接聽所有已設定 IP 位址的 AJP 連接器。非必要時，此連接器應該 (安全性指南中也建議) 停用。此弱點報告指出了允許下列狀況發生的機制：- 從 Web 應用程式任意位置傳回任意檔案 - 將 Web 應用程式中的任何檔案處理成 JSP 此外，若 Web 應用程式允許檔案上傳並將這些檔案儲存在 Web 應用程式內 (或者攻擊者可利用其他方式控制 Web 應用程式的內容)，則加上將檔案處理為 JSP 的能力，即可能發生遠端程式碼執行。請務必注意，僅當非受信任使用者可存取 AJP 連接埠時，才需要執行減輕措施。若使用者希望採用深度防禦方式，並封鎖允許傳回任意檔案及以 JSP 形式執行的向量，可升級至 Apache Tomcat 9.0.31、8.5.51 或 7.0.100 或更新版本。9.0.31 版 AJP 連接器預設組態已做了一些變更，以強化預設組態。升級至 9.0.31、8.5.51 或 7.0.100 或更新版本的使用者可能需要微幅變更其組態。(CVE-2020-1938) 作為此 CVE 修正的一部分，我們在預設組態中停用 Tomcat 2019 AJP 連接器，以配合上游變更。此變更要求使用預設 Tomcat 組態 (先前 AJP 連接器為啟用狀態) 的客戶在需要時明確重新啟用連接器。亦請注意，設定時無明確位址的連接器將只會繫結至回送位址。更新 tomcat8 和 tomcat7 之前及之後來自 netstat 的輸出範例如下 (請注意，這與 tomcat7 和 tomcat8 的 AL1 和 AL2 上的狀況相同)。AL2 tomcat8.5 : before : tcp6 0 0 :::8009 :::* LISTEN 25772/java tcp6 0 0 :::8080 :::* LISTEN 25772/java tcp6 0 0 127.0.0.1:8005 :::* LISTEN 25772/java After : tcp6 0 0 :::8080 :::* LISTEN 25772/java tcp6 0 0 127.0.0.1:8005 :::* LISTEN 25772/java 若要在 Tomcat 中重新啟用 AJP 連接埠，使用者可遵循下列步驟：1) 針對 AL2 Core (tomcat7)：將 /etc/tomcat/server.xml 中的下列行取消註解，並重新啟動服務  2) 針對 AL2 Tomcat8.5 extra：將 /etc/tomcat/server.xml 中的下列行取消註解，並重新啟動服務  另請參閱：Apache Tomcat 版本注意事項 Tomcat 7 <a href='http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_ 8.5.51'>Tomcat 8 RedHat <a href='https://access.redhat.com/solutions/4851251'>解決方案

The version of Apache Tomcat installed on the remote host is version 8.0.x prior to 8.0.53. It is, therefore, affected by multiple vulnerabilities:

 - The defaults settings for the CORS filter are insecure and enable supportsCredentials for all origins. It is expected that users of the CORS filter will have configured it appropriately for their environment rather than using it in the default configuration. Therefore, it is expected that most users will not be impacted by this issue. (CVE-2018-8014)

 - A vulnerability exists that could allow a remote attacker to bypass security restrictions, caused by a missing host name verification when using TLS with the WebSocket client. An attacker could exploit this vulnerability to bypass security constraints to access restricted resources. (CVE-2018-8034)

The version of Apache Tomcat installed on the remote host is 9.0.x prior to 9.0.10. It is, therefore, affected by multiple vulnerabilities:

 - A security misconfiguration vulnerability exists in Apache Tomcat prior to version 9.0.9 due to insecure default settings for the CORS filter (CVE-2018-8014).

 - A security misconfiguration vulnerability exists in Apache Tomcat prior to version 9.0.10. Hostname validation was not enabled by default when using TLS with the WebSocket client (CVE-2018-8034).

 - An information disclosure vulnerability exists in Apache Tomcat prior to version 9.0.10 due to a race condition. If an async request was completed by the application at the same time as the container triggered the async timeout, this could lead to a user being sent the response of another user. (CVE-2018-8037).

The version of Apache Tomcat installed on the remote host is 9.0.x prior to 9.0.10. It is, therefore, affected by multiple vulnerabilities.

 - A security misconfiguration vulnerability exists in Apache Tomcat prior to version 9.0.9 due to insecure default settings for the CORS filter (CVE-2018-8014).

 - A security misconfiguration vulnerability exists in Apache Tomcat prior to version 9.0.10. Hostname validation was not enabled by default when using TLS with the WebSocket client (CVE-2018-8034).

 - An information disclosure vulnerability exists in Apache Tomcat prior to version 9.0.10 due to a race condition. If an async request was completed by the application at the same time as the container triggered the async timeout, this could lead to a user being sent the response of another user. (CVE-2018-8037)

The version of Apache Tomcat installed on the remote host is version 7.0.41 prior to 7.0.89. It is, therefore, affected by an improper handing of overflow in the UTF-8 decoder with supplementary characters can lead to an infinite loop in the decoder causing a Denial of Service.

The version of Apache Tomcat installed on the remote host is version 8.5.x prior to 8.5.32. It is, therefore, affected by multiple vulnerabilities :

 - The defaults settings for the CORS filter are insecure and enable supportsCredentials for all origins. It is expected that users of the CORS filter will have configured it appropriately for their environment rather than using it in the default configuration. Therefore, it is expected that most users will not be impacted by this issue. (CVE-2018-8014)
 - The host name verification when using TLS with the WebSocket client was missing. It is now enabled by default. (CVE-2018-8034)
 - If an async request was completed by the application at the same time as the container triggered the async timeout, a race condition existed that could result in a user seeing a response intended for a different user. An additional issue was present in the NIO and NIO2 connectors that did not correctly track the closure of the connection when an async request was completed by the application and timed out by the container at the same time. This could also result in a user seeing a response intended for another user. (CVE-2018-8037)

ID	名稱	產品	系列	已發布	已更新	嚴重性
134569	Amazon Linux 2：tomcat（ALAS-2020-1402）	Nessus	Amazon Linux Local Security Checks	2020/3/16	2024/12/11	critical
111804	RHEL 6 / 7Red Hat JBoss Web Server 3.1.0 Service Pack 4 (RHSA-2018:2469)	Nessus	Red Hat Local Security Checks	2018/8/17	2025/4/29	critical
127594	Oracle Linux 8 : pki-deps:10.6 (ELSA-2019-1529)	Nessus	Oracle Linux Local Security Checks	2019/8/12	2024/11/1	critical
128266	Scientific Linux 安全性更新：SL7.x x86_64 上的 tomcat	Nessus	Scientific Linux Local Security Checks	2019/8/27	2024/5/1	critical
128376	CentOS 7：tomcat (CESA-2019:2205)	Nessus	CentOS Local Security Checks	2019/8/30	2019/12/31	critical
145683	CentOS 8：pki-deps：10.6 (CESA-2019: 1529)	Nessus	CentOS Local Security Checks	2021/1/29	2023/2/8	critical
134569	Amazon Linux 2：tomcat (ALAS-2020-1402)	Nessus	Amazon Linux Local Security Checks	2020/3/16	2024/12/11	critical
700689	Apache Tomcat 8.0.x < 8.0.53 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	critical
700707	Apache Tomcat 9.0.x < 9.0.10 Security Misconfiguration	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	critical
700708	Apache Tomcat 9.0.x < 9.0.10 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	critical
700679	Apache Tomcat 7.0.x < 7.0.89 DoS	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	critical
700695	Apache Tomcat 8.5.x < 8.5.32 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical