Tomcat 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。下列程序包已升级到更新的上游版本：tomcat (7.0.69)。(BZ#1287928) 安全修复：* 在 Manager 和 Host Manager 应用程序的 Tomcat 索引页面中发现 CSRF 缺陷。收到未经身份验证的 Web 应用程序根请求而发出重定向时，这些应用程序包含有效的 CSRF 标记。然后攻击者可利用此标记发动 CSRF 攻击。(CVE-2015-5351) * 已发现多个 Tomcat 会话持久性机制可允许经身份验证的远程用户通过 Web 应用程序，在会话中放置构建的对象，绕过预期的 SecurityManager 限制，并在特权环境中执行任意代码。(CVE-2016-0714) * 在 Tomcat 中发现安全管理员绕过缺陷，其允许经身份验证的远程用户访问任意应用程序数据，从而可能导致拒绝服务。(CVE-2016-0763) * 在 Commons FileUpload 中发现拒绝服务漏洞，如果边界是典型的数十字节长，而 multipart 边界的长度刚好小于用来读取已上传文件的缓冲区大小（4096 字节）时，便可能触发此漏洞。(CVE-2016-3092) * 在 Tomcat 的 RequestUtil.java 中发现目录遍历缺陷。经身份验证的远程用户可利用此缺陷，绕过预期 SecurityManager 限制，并通过 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的“/..”来列出父目录。(CVE-2015-5174) * 已发现即使目录受到安全限制保护，Tomcat 仍可泄露该目录的存在。用户可通过不以斜线结尾的 URL 来请求某目录，且可确认该目录是否存在（根据 Tomcat 是否重定向该请求）。(CVE-2015-5345) * 已发现当配置了安全管理员时，Tomcat 允许 Web 应用程序加载 StatusManagerServlet。这允许 Web 应用程序列出所有已部署的 Web 应用程序，并泄露会话 ID 等敏感信息。(CVE-2016-0706) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.3 发行说明。

Tomcat 6 是一种纯 Java Web 服务器环境，作为 Java Servlet 与 JavaServer Pages (JSP) 规范的实现，受到 6.0.45 版之前的多种安全问题影响。

CVE-2015-5174 在 Apache Tomcat 6.0.45 之前的 6.x 版、7.0.65 之前的 7.x 版以及 8.0.27 之前的 8.x 版中，RequestUtil.java 有一个目录遍历漏洞，可允许经认证的远程用户绕过预定 SecurityManager 限制并通过 /..
Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名称中的 /..（斜线点点），这一点已由 $CATALINA_BASE/webapps 目录证实。

CVE-2015-5345 在 Apache Tomcat 6.0.45 之前的 6.x 版、7.0.67 之前的 7.x 版、8.0.30 之前的 8.x 版以及 9.0.0.M2 之前的 9.x 版中，Mapper 组件会在考虑安全限制与筛选器之前处理重定向，这可允许远程攻击者通过缺少结尾 / (斜线) 字符的 URL 来确定目录是否存在。

CVE-2015-5351 Apache Tomcat 中的 Manager 和 Host Manager 应用程序可建立会话，并为任意新请求发送 CSRF 标记，这可允许远程攻击者使用标记绕过 CSRF 保护机制。

CVE-2016-0706 Apache Tomcat 6.0.45 之前的 6.x 版、7.0.68 之前的 7.x 版、8.0.31 之前的 8.x 版以及 9.0.0.M2 之前的 9.x 版未将 org.apache.catalina.manager.StatusManagerServlet 放在 org/apache /catalina/core/RestrictedServlets.properties 列表上，可允许经认证的远程用户通过特别构建的 Web 应用程序，绕过预定的 SecurityManager 限制并读取任意 HTTP 请求，进而查找会话 ID 值。

CVE-2016-0714 在 Apache Tomcat 6.0.45 之前的 6.x 版、7.0.68 之前的 7.x 版、8.0.31 之前的 8.x 版以及 9.0.0.M2 之前的 9.x 版中，会话持久性功能的实现未正确处理会话属性，这可允许经认证的远程用户通过 Web 应用程序，在会话中放置特别构建的对象，进而绕过预定的 SecurityManager 限制，并在特权上下文中执行任意代码。

- CVE-2016-0763：在 Apache Tomcat 的 org/apache/naming/factory /ResourceLinkFactory.java 中，setGlobalContext 方法未考虑 ResourceLinkFactory.setGlobalContext 调用器是否获得授权，这可允许经认证的远程用户通过 Web 应用程序设置特别构建的全局环境，绕过预期 SecurityManager 限制，并读取或写入任意应用程序数据，或造成拒绝服务（应用程序中断）。

对于 Debian 6 'Squeeze'，已在 6.0.45-1~deb6u1 版本中修复这些问题。

我们建议您升级 tomcat6 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Mark Thomas 报告：

- CVE-2015-5345 Apache Tomcat 目录泄露

- CVE-2016-0706 Apache Tomcat 安全管理器绕过

- CVE-2016-0714 Apache Tomcat Security Manager 绕过

在 Tomcat servlet 和 JSP 引擎中发现多个安全漏洞，其可能导致信息泄露、绕过 CSRF 保护和 SecurityManager 或造成拒绝服务。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2016:2599 公告中提及的多个漏洞的影响。

    Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。

    下列程序包已升级到更新的上游版本：tomcat (7.0.69)。(BZ#1287928)

    安全修复：

    * 在 Manager 和 Host Manager 应用程序的 Tomcat 索引页面中发现一个 CSRF 缺陷。收到未经身份验证的 Web 应用程序根请求而发出重定向时，这些应用程序包含有效的 CSRF 标记。然后攻击者可利用此标记发动 CSRF 攻击。
    (CVE-2015-5351)

    * 已发现多个 Tomcat 会话持久性机制可允许经身份验证的远程用户通过 Web 应用程序，在会话中放置构建的对象，绕过预期的 SecurityManager 限制，并在特权环境中执行任意代码。(CVE-2016-0714)

    * 在 Tomcat 中发现一个安全管理员绕过缺陷，其允许经认证的远程用户访问任意应用程序数据，从而可能导致拒绝服务。(CVE-2016-0763)

    * 在 Commons FileUpload 中发现一个拒绝服务漏洞，如果边界是典型的数十字节长，而 multipart 边界的长度刚好小于用来读取已上传文件的缓冲区大小（4096 字节）时，便可能触发此漏洞。(CVE-2016-3092)

    * 在 Tomcat 的 RequestUtil.java 中发现一个目录遍历缺陷。经身份验证的远程用户可利用此缺陷，绕过预期 SecurityManager 限制，并通过 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的“/..”来列出父目录。
    (CVE-2015-5174)

    * 已发现即使目录受到安全限制保护，Tomcat 仍可泄露该目录的存在。用户可通过不以斜线结尾的 URL 来请求某目录，且可确认该目录是否存在（根据 Tomcat 是否重定向该请求）。
    (CVE-2015-5345)

    * 已发现当配置了安全管理员时，Tomcat 允许 Web 应用程序加载 StatusManagerServlet。这允许 Web 应用程序列出所有已部署的 Web 应用程序，并泄露会话 ID 等敏感信息。(CVE-2016-0706)

    其他变更：

    如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.3 版本说明。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

According to its self-reported version number, the Apache Tomcat instance listening on the remote host is prior to 6.0.45 / 7.0.68 / 8.0.30. It is, therefore, affected by an information disclosure vulnerability:

 - An information disclosure vulnerability exists due to a failure to enforce access restrictions when handling directory requests that are missing trailing slashes. An unauthenticated, remote attacker can exploit this to enumerate valid directories. (CVE-2015-5345)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Apache Tomcat installed on the remote host is version 9.0.x prior to 9.0.0.M3. It is, therefore, affected by multiple vulnerabilities :

 - An information disclosure vulnerability exists due to a failure to enforce access restrictions when handling directory requests that are missing trailing slashes. An unauthenticated, remote attacker can exploit this to enumerate valid directories. (CVE-2015-5345)
 - A flaw exists due to a failure to invalidate a previous session ID when assigning an ID to a new session. An attacker can exploit this, via a crafted request that uses the requestedSessionSSL field to fixate the session ID, to ensure that the user authenticates with a known session ID, allowing the session to be subsequently hijacked. (CVE-2015-5346)
 - An information disclosure vulnerability exists in the Manager and Host Manager web applications due to a flaw in the index page when issuing redirects in response to unauthenticated requests for the root directory of the application. An unauthenticated, remote attacker can exploit this to gain access to the XSRF token information stored in the index page. (CVE-2015-5351)
 - An information disclosure vulnerability exists that allows a specially crafted web application to load the StatusManagerServlet. An attacker can exploit this to gain unauthorized access to a list of all deployed applications and a list of the HTTP request lines for all requests currently being processed. (CVE-2016-0706)
 - A security bypass vulnerability exists due to a flaw in the StandardManager, PersistentManager, and cluster implementations that is triggered when handling persistent sessions. An unauthenticated, remote attacker can exploit this, via a crafted object in a session, to bypass the security manager and execute arbitrary code. (CVE-2016-0714)
 - A flaw exists due to the setGlobalContext() method of ResourceLinkFactory being accessible to web applications even when run under a security manager. An unauthenticated, remote attacker can exploit this to inject malicious global context, allowing data owned by other web applications to be read or written to. (CVE-2016-0763)

Note that Nessus Network Monitor has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
95345	CentOS 7 : tomcat (CESA-2016:2599)	Nessus	CentOS Local Security Checks	11/28/2016	1/4/2021	high
88996	Debian DLA-435-1：tomcat6 安全更新	Nessus	Debian Local Security Checks	2/29/2016	1/11/2021	high
89006	FreeBSD：tomcat -- 多个漏洞 (1f1124fe-de5c-11e5-8fa8-14dae9d210b8)	Nessus	FreeBSD Local Security Checks	2/29/2016	1/4/2021	high
91906	Debian DSA-3609-1：tomcat8 - 安全更新	Nessus	Debian Local Security Checks	7/1/2016	1/11/2021	high
94562	RHEL 7：tomcat (RHSA-2016:2599)	Nessus	Red Hat Local Security Checks	11/4/2016	3/20/2025	high
9316	Apache Tomcat 6.0.x < 6.0.45 / 7.0.x < 7.0.68 / 8.0.x < 8.0.30 Directory Traversal	Nessus Network Monitor	Web Servers	5/24/2016	3/6/2019	medium
700699	Apache Tomcat 9.0.x < 9.0.0.M3 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	5/13/2019	5/13/2019	high

Detections

Analytics

Plugins Search

high

high

high

high

high

medium

high