據發現，當使用者名稱不存在時，Tomcat 領域實作未正確處理密碼。遠端攻擊者可能會利用此問題列舉使用者名稱。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-0762)

Alvaro Munoz 和 Alexander Mirosh 發現 Tomcat 未正確限制使用某公用程式方法。惡意應用程式可能會利用此弱點繞過安全性管理員限制。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-5018)

據發現，Tomcat 未保護應用程式免於取得 HTTP_PROXY 環境變數中未受信任的資料。遠端攻擊者可能會利用此弱點將傳出流量重新導向至任意 Proxy 伺服器。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-5388)

據發現，Tomcat 未正確控制讀取系統屬性。惡意應用程式可能會利用此弱點繞過安全性管理員限制。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6794)

據發現，Tomcat 未正確控制某些組態參數。惡意應用程式可能會利用此弱點繞過安全性管理員限制。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-6796)

據發現，Tomcat 未正確限制對全域 JNDI 資源的存取。惡意應用程式可利用此弱點在沒有明確 ResourceLink 的情況下，存取任何全域 JNDI 資源。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-6797)

Regis Leroy 發現 Tomcat 未正確從 HTTP 要求行中篩選某些無效字元。遠端攻擊者可能會利用此問題將資料插入 HTTP　回應。
(CVE-2016-6816)

Pierre Ernst 發現 Tomcat JmxRemoteLifecycleListener 未實作建議的修正。遠端攻擊者可能會利用此問題執行任意程式碼。(CVE-2016-8735)

據發現，Tomcat　未正確處理傳送檔案程式碼中的錯誤處理。遠端攻擊者可能會利用此問題從其他要求存取資訊。(CVE-2016-8745)

Paul Szabo 發現 Tomcat 套件未正確處理升級與移除。本機攻擊者可能會利用此問題取得 root 權限。(CVE-2016-9774、CVE-2016-9775)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Tomcat servlet 和 JSP 引擎中，以及在其 Debian 專用的 maintainer 指令碼中發現多個安全性弱點。這些缺陷可造成權限提升、資訊洩漏和遠端程式碼執行問題。此更新也一併解決了先前弱點修正不完整所造成的數個迴歸問題。

USN-3177-1 已修正 Tomcat 中的弱點。更新在 Tomcat 以安全性管理員啟動的環境中引起了迴歸。此更新可修正該問題。

由此給您帶來的不便，我們深表歉意。

據發現，當使用者名稱不存在時，Tomcat 領域實作未正確處理密碼。遠端攻擊者可能會利用此問題列舉使用者名稱。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-0762)

Alvaro Munoz 和 Alexander Mirosh 發現 Tomcat 未正確限制使用某公用程式方法。惡意應用程式可能會利用此弱點繞過安全性管理員限制。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-5018)

據發現，Tomcat 未保護應用程式免於取得 HTTP_PROXY 環境變數中未受信任的資料。
遠端攻擊者可能會利用此弱點將傳出流量重新導向至任意 Proxy 伺服器。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-5388)

據發現，Tomcat 未正確控制讀取系統屬性。惡意應用程式可能會利用此弱點繞過安全性管理員限制。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6794)

據發現，Tomcat 未正確控制某些組態參數。惡意應用程式可能會利用此弱點繞過安全性管理員限制。
此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6796)

據發現，Tomcat 未正確限制對全域 JNDI 資源的存取。惡意應用程式可利用此弱點在沒有明確 ResourceLink 的情況下，存取任何全域 JNDI 資源。此問題僅適用 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6797)

Regis Leroy 發現 Tomcat 未正確從 HTTP 要求行中篩選某些無效字元。遠端攻擊者可能會利用此問題將資料插入 HTTP 回覆。CVE-2016-6816

Pierre Ernst 發現 Tomcat JmxRemoteLifecycleListener 未實作建議的修正。遠端攻擊者可能會利用此問題執行任意程式碼。(CVE-2016-8735)

據發現，Tomcat　未正確處理傳送檔案程式碼中的錯誤處理。遠端攻擊者可能會利用此問題從其他要求存取資訊。(CVE-2016-8745)

Paul Szabo 發現 Tomcat 套件未正確處理升級與移除。本機攻擊者可能會利用此問題取得 root 權限。
(CVE-2016-9774、CVE-2016-9775)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Paul Szabo 發現可能存在權限提升弱點，會引發如 DLA-622-1 中設想的惡意利用情形。此更新亦解決了因為 CVE-2015-5345、CVE-2016-5018 和 CVE-2016-6797 修正不完整所造成的數個迴歸問題。針對 Debian 7「Wheezy」，這些問題已在 7.0.28-4+deb7u8 版本中修正。我們建議您升級 tomcat7 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
96720	Ubuntu 14.04 LTS / 16.04 LTS：Tomcat 弱點 (USN-3177-1)	Nessus	Ubuntu Local Security Checks	2017/1/24	2023/10/20	critical
96017	Debian DSA-3738-1：tomcat7 - 安全性更新	Nessus	Debian Local Security Checks	2016/12/20	2023/5/14	critical
96978	Ubuntu 14.04 LTS：Tomcat 回歸 (USN-3177-2)	Nessus	Ubuntu Local Security Checks	2017/2/3	2023/10/20	critical
96014	Debian DLA-753-1：tomcat7 安全性更新	Nessus	Debian Local Security Checks	2016/12/20	2021/1/11	high
96018	Debian DSA-3739-1：tomcat8 - 安全性更新	Nessus	Debian Local Security Checks	2016/12/20	2023/5/14	critical

偵測

搜尋 Plugin

critical

critical

critical

high

critical