遠端主機上安裝的 Apache Tomcat 版本是 9.0.113 之前的 9.0.0-M1、10.1.50 之前 10.1.0-M1，或是 11.0.15之前的 11.0.0-M1 版本。因此，該應用程式受到多個弱點影響：

 - 如果將安全性限制設定為允許對 URI 的 HEAD 要求但拒絕 GET 要求使用者可藉由使用 HTTP/ 傳送 (規格無效) HEAD 要求繞過對 GET 要求的限制0.9。 (CVE-2026-24733)

 - 如果 Tomcat 設有一個以上的虛擬主機且其中一個主機的 TLS 組態不需要用戶端憑證驗證而另一台則需要用戶端憑證驗證則可能會在SNI 延伸模組和 HTTP 主機標頭欄位。 (CVE-2025-66614)

請注意，掃描程式並未嘗試利用這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

遠端主機上安裝的 Tomcat 版本低於 7.0.76-10。因此，它會受到 ALAS2-2026-3204 公告中提及的一個弱點影響。

    在 Tomcat 中發現一個瑕疵。一個不當輸入驗證弱點允許攻擊者繞過安全性限制。具體而言如果將安全性限制設定為允許對 URI 的 HEAD 要求但拒絕 GET 要求則使用 HTTP/0.9 通訊協定的格式錯誤或規格無效的 HEAD 要求可繞過預定的拒絕規則讓攻擊者得以存取本應拒絕的資源。受到保護。
    (CVE-2026-24733)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Tomcat 版本低於 10.1.50。因此，該主機受到 fixed_in_apache_tomcat_10.1.50_security-10 公告中所提及的多個弱點影響。

  - 不當輸入驗證弱點。此問題影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14、10.1.0-M1 至 10.1.49、9.0.0-M1 至 9.0.112。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100。較舊的停產版本不受影響。Tomcat 未驗證透過 SNI 延伸模組提供的主機名稱是否與 HTTP 主機標頭欄位中提供的主機名稱相同。如果 Tomcat 設有一個以上的虛擬主機，且其中一個主機的 TLS 組態不需要用戶端憑證驗證，而另一台需要用戶端憑證驗證，則用戶端可能透過在 SNI 延伸模組與 HTTP 主機標頭欄位中傳送不同的主機名稱來繞過用戶端憑證驗證。僅在連接器強制執行用戶端憑證驗證的情況下，才會產生此弱點。如果在 Web 應用程式上強制執行用戶端憑證驗證，則不適用。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。(CVE-2025-66614)

  - Apache Tomcat 中的不當輸入驗證弱點。Tomcat 未限制對 GET 方法的 HTTP/0.9 要求。如果將安全性限制設定為允許對 URI 的 HEAD 要求，但拒絕 GET 要求，則使用者可透過使用 HTTP/0.9 傳送 (規格無效) HEAD 要求，繞過 GET 要求的限制。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14 (含)、10.1.0-M1 至 10.1.49 (含)、9.0.0.M1 至 9.0.112 (含)。較舊的停產版本也受到影響。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。
    (CVE-2026-24733)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Apache Tomcat 中的不當輸入驗證弱點。Tomcat 未限制對 GET 方法的 HTTP/0.9 要求。如果將安全性限制設定為允許對 URI 的 HEAD 要求，但拒絕 GET 要求，則使用者可透過使用 HTTP/0.9 傳送 (規格無效) HEAD 要求，繞過 GET 要求的限制。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14 (含)、10.1.0-M1 至 10.1.49 (含)、9.0.0.M1 至 9.0.112 (含)。較舊的停產版本也受到影響。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。
    (CVE-2026-24733)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 Tomcat 版本低於 9.0.113。因此會受到 fixed_in_apache_tomcat_9.0.113_security-9 公告中提及的多個弱點影響。

  - 不當輸入驗證弱點。此問題影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14、10.1.0-M1 至 10.1.49、9.0.0-M1 至 9.0.112。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100。較舊的停產版本不受影響。Tomcat 未驗證透過 SNI 延伸模組提供的主機名稱是否與 HTTP 主機標頭欄位中提供的主機名稱相同。如果 Tomcat 設有一個以上的虛擬主機，且其中一個主機的 TLS 組態不需要用戶端憑證驗證，而另一台需要用戶端憑證驗證，則用戶端可能透過在 SNI 延伸模組與 HTTP 主機標頭欄位中傳送不同的主機名稱來繞過用戶端憑證驗證。僅在連接器強制執行用戶端憑證驗證的情況下，才會產生此弱點。如果在 Web 應用程式上強制執行用戶端憑證驗證，則不適用。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。(CVE-2025-66614)

  - Apache Tomcat 中的不當輸入驗證弱點。Tomcat 未限制對 GET 方法的 HTTP/0.9 要求。如果將安全性限制設定為允許對 URI 的 HEAD 要求，但拒絕 GET 要求，則使用者可透過使用 HTTP/0.9 傳送 (規格無效) HEAD 要求，繞過 GET 要求的限制。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14 (含)、10.1.0-M1 至 10.1.49 (含)、9.0.0.M1 至 9.0.112 (含)。較舊的停產版本也受到影響。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。
    (CVE-2026-24733)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2026-1497 公告中所提及的多個弱點影響。

    mproper 輸入驗證弱點。此問題影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14、10.1.0-M1 至 10.1.49、9.0.0-M1 至 9.0.112。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100。較舊的停產版本不受影響。Tomcat 未驗證透過 SNI 延伸模組提供的主機名稱是否與 HTTP 主機標頭欄位中提供的主機名稱相同。如果 Tomcat 設有一個以上的虛擬主機，且其中一個主機的 TLS 組態不需要用戶端憑證驗證，而另一台需要用戶端憑證驗證，則用戶端可能透過在 SNI 延伸模組與 HTTP 主機標頭欄位中傳送不同的主機名稱來繞過用戶端憑證驗證。僅在連接器強制執行用戶端憑證驗證的情況下，才會產生此弱點。如果在 Web 應用程式上強制執行用戶端憑證驗證，則不適用。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。(CVE-2025-66614)

    在 Tomcat 中發現一個瑕疵。一個不當輸入驗證弱點允許攻擊者繞過安全性限制。具體而言如果將安全性限制設定為允許對 URI 的 HEAD 要求但拒絕 GET 要求則使用 HTTP/0.9 通訊協定的格式錯誤或規格無效的 HEAD 要求可繞過預定的拒絕規則讓攻擊者得以存取本應拒絕的資源。受到保護。
    (CVE-2026-24733)

    Apache Tomcat Native 中的不當輸入驗證弱點、Apache Tomcat。

    使用 OCSP 回應程式時，Tomcat Native (以及 Tomcat Native 程式碼的 Tomcat FFM 連接埠) 未對 OCSP 回應完成驗證或時效性檢查，這可允許繞過憑證撤銷。

    此問題會影響 Apache Tomcat Native 1.3.0 到 1.3.4、 2.0.0 到 2.0.11Apache Tomcat從 11.0.0-M1 到 11.0.17、從 10.1.0-M7 到 10.1.51、從 9.0.83 到 9.0.114。

    下列版本在建立 CVE 時已達 EOL但已知受到影響 1.1.23 至 1.1.34、 1.2.0 至 1.2.39。較舊的停產版本不受影響。

    建議 Apache Tomcat Native 使用者升級至 1.3.5 或更新版本，或是 2.0.12 或更新版本，以修正此問題。

    建議 Apache Tomcat 使用者升級至 11.0.18 或更新版本、10.1.52 或更新版本、9.0.115 或更新版本，以修正此問題。(CVE-2026-24734)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Tomcat 版本低於 11.0.15。因此會受到 fixed_in_apache_tomcat_11.0.15_security-11 公告中所提及的多個弱點影響。

  - 不當輸入驗證弱點。此問題影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14、10.1.0-M1 至 10.1.49、9.0.0-M1 至 9.0.112。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100。較舊的停產版本不受影響。Tomcat 未驗證透過 SNI 延伸模組提供的主機名稱是否與 HTTP 主機標頭欄位中提供的主機名稱相同。如果 Tomcat 設有一個以上的虛擬主機，且其中一個主機的 TLS 組態不需要用戶端憑證驗證，而另一台需要用戶端憑證驗證，則用戶端可能透過在 SNI 延伸模組與 HTTP 主機標頭欄位中傳送不同的主機名稱來繞過用戶端憑證驗證。僅在連接器強制執行用戶端憑證驗證的情況下，才會產生此弱點。如果在 Web 應用程式上強制執行用戶端憑證驗證，則不適用。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。(CVE-2025-66614)

  - Apache Tomcat 中的不當輸入驗證弱點。Tomcat 未限制對 GET 方法的 HTTP/0.9 要求。如果將安全性限制設定為允許對 URI 的 HEAD 要求，但拒絕 GET 要求，則使用者可透過使用 HTTP/0.9 傳送 (規格無效) HEAD 要求，繞過 GET 要求的限制。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14 (含)、10.1.0-M1 至 10.1.49 (含)、9.0.0.M1 至 9.0.112 (含)。較舊的停產版本也受到影響。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。
    (CVE-2026-24733)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Tomcat 版本低於 9.0.115-1。因此，會受到 ALAS2TOMCAT9-2026-024 公告中所提及的多個弱點影響。

    mproper 輸入驗證弱點。此問題影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14、10.1.0-M1 至 10.1.49、9.0.0-M1 至 9.0.112。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100。較舊的停產版本不受影響。Tomcat 未驗證透過 SNI 延伸模組提供的主機名稱是否與 HTTP 主機標頭欄位中提供的主機名稱相同。如果 Tomcat 設有一個以上的虛擬主機，且其中一個主機的 TLS 組態不需要用戶端憑證驗證，而另一台需要用戶端憑證驗證，則用戶端可能透過在 SNI 延伸模組與 HTTP 主機標頭欄位中傳送不同的主機名稱來繞過用戶端憑證驗證。僅在連接器強制執行用戶端憑證驗證的情況下，才會產生此弱點。如果在 Web 應用程式上強制執行用戶端憑證驗證，則不適用。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。(CVE-2025-66614)

    在 Tomcat 中發現一個瑕疵。一個不當輸入驗證弱點允許攻擊者繞過安全性限制。具體而言如果將安全性限制設定為允許對 URI 的 HEAD 要求但拒絕 GET 要求則使用 HTTP/0.9 通訊協定的格式錯誤或規格無效的 HEAD 要求可繞過預定的拒絕規則讓攻擊者得以存取本應拒絕的資源。受到保護。
    (CVE-2026-24733)

    Apache Tomcat Native 中的不當輸入驗證弱點、Apache Tomcat。

    使用 OCSP 回應程式時，Tomcat Native (以及 Tomcat Native 程式碼的 Tomcat FFM 連接埠) 未對 OCSP 回應完成驗證或時效性檢查，這可允許繞過憑證撤銷。

    此問題會影響 Apache Tomcat Native 1.3.0 到 1.3.4、 2.0.0 到 2.0.11Apache Tomcat從 11.0.0-M1 到 11.0.17、從 10.1.0-M7 到 10.1.51、從 9.0.83 到 9.0.114。

    下列版本在建立 CVE 時已達 EOL但已知受到影響 1.1.23 至 1.1.34、 1.2.0 至 1.2.39。較舊的停產版本不受影響。

    建議 Apache Tomcat Native 使用者升級至 1.3.5 或更新版本，或是 2.0.12 或更新版本，以修正此問題。

    建議 Apache Tomcat 使用者升級至 11.0.18 或更新版本、10.1.52 或更新版本、9.0.115 或更新版本，以修正此問題。(CVE-2026-24734)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2026-1496 公告中所提及的多個弱點影響。

    mproper 輸入驗證弱點。此問題影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.14、10.1.0-M1 至 10.1.49、9.0.0-M1 至 9.0.112。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100。較舊的停產版本不受影響。Tomcat 未驗證透過 SNI 延伸模組提供的主機名稱是否與 HTTP 主機標頭欄位中提供的主機名稱相同。如果 Tomcat 設有一個以上的虛擬主機，且其中一個主機的 TLS 組態不需要用戶端憑證驗證，而另一台需要用戶端憑證驗證，則用戶端可能透過在 SNI 延伸模組與 HTTP 主機標頭欄位中傳送不同的主機名稱來繞過用戶端憑證驗證。僅在連接器強制執行用戶端憑證驗證的情況下，才會產生此弱點。如果在 Web 應用程式上強制執行用戶端憑證驗證，則不適用。建議使用者升級至 11.0.15 或更新版本、10.1.50 或更新版本、9.0.113 或更新版本，即可修正此問題。(CVE-2025-66614)

    在 Tomcat 中發現一個瑕疵。一個不當輸入驗證弱點允許攻擊者繞過安全性限制。具體而言如果將安全性限制設定為允許對 URI 的 HEAD 要求但拒絕 GET 要求則使用 HTTP/0.9 通訊協定的格式錯誤或規格無效的 HEAD 要求可繞過預定的拒絕規則讓攻擊者得以存取本應拒絕的資源。受到保護。
    (CVE-2026-24733)

    Apache Tomcat Native 中的不當輸入驗證弱點、Apache Tomcat。

    使用 OCSP 回應程式時，Tomcat Native (以及 Tomcat Native 程式碼的 Tomcat FFM 連接埠) 未對 OCSP 回應完成驗證或時效性檢查，這可允許繞過憑證撤銷。

    此問題會影響 Apache Tomcat Native 1.3.0 到 1.3.4、 2.0.0 到 2.0.11Apache Tomcat從 11.0.0-M1 到 11.0.17、從 10.1.0-M7 到 10.1.51、從 9.0.83 到 9.0.114。

    下列版本在建立 CVE 時已達 EOL但已知受到影響 1.1.23 至 1.1.34、 1.2.0 至 1.2.39。較舊的停產版本不受影響。

    建議 Apache Tomcat Native 使用者升級至 1.3.5 或更新版本，或是 2.0.12 或更新版本，以修正此問題。

    建議 Apache Tomcat 使用者升級至 11.0.18 或更新版本、10.1.52 或更新版本、9.0.115 或更新版本，以修正此問題。(CVE-2026-24734)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
115152	Apache Tomcat 11.0.0-M1 < 11.0.15 多個弱點	Web App Scanning	Component Vulnerability	2026/3/5	2026/3/5	medium
115154	Apache Tomcat 9.0.0-M1 < 9.0.113 多個弱點	Web App Scanning	Component Vulnerability	2026/3/5	2026/3/5	medium
115153	Apache Tomcat 10.1.0-M1 < 10.1.50 多個弱點	Web App Scanning	Component Vulnerability	2026/3/5	2026/3/5	medium
303098	Amazon Linux 2tomcat --advisory ALAS2-2026-3204 (ALAS-2026-3204)	Nessus	Amazon Linux Local Security Checks	2026/3/19	2026/3/19	medium
299401	Apache Tomcat 10.1.0.M1 < 10.1.50 多個弱點	Nessus	Web Servers	2026/2/18	2026/3/16	critical
299445	Linux Distros 未修補的弱點：CVE-2026-24733	Nessus	Misc.	2026/2/18	2026/4/29	low
299397	Apache Tomcat 9.0.0.M1 < 9.0.113 多個弱點	Nessus	Web Servers	2026/2/18	2026/3/16	critical
304284	Amazon Linux 2023：tomcat10、tomcat10-admin-webapps、tomcat10-el-5.0-api (ALAS2023-2026-1497)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	medium
299403	Apache Tomcat 11.0.0.M1 < 11.0.15 多個弱點	Nessus	Web Servers	2026/2/18	2026/3/16	critical
303081	Amazon Linux 2tomcat --advisory ALAS2TOMCAT9-2026-024 (ALASTOMCAT9-2026-024)	Nessus	Amazon Linux Local Security Checks	2026/3/19	2026/3/19	medium
304279	Amazon Linux 2023：tomcat9、tomcat9-admin-webapps、tomcat9-el-3.0-api (ALAS2023-2026-1496)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

critical

low

critical

medium

critical

medium

medium