Apache Tomcat 9.0.0.M1 < 9.0.0。M21

high Nessus 插件 ID 197825

语言：

简介

远程 Apache Tomcat 服务器受到一个漏洞的影响

描述

远程主机上安装的 Tomcat 版本低于 9.0.0.M21。因此，它受到 fixed_in_apache_tomcat_9.0.0.m21_security-9 公告中提及的一个漏洞影响。

- Java Servlet Specification 的错误页面机制规定，当发生错误且为发生的错误配置错误页面时，原始请求及响应会转发至该错误页面。这意味着使用原始 HTTP 方法在错误页面呈现请求。
若错误页面是静态文件，按理应是提供文件内容，如同处理 GET 请求，无论实际 HTTP 方式如何。9.0.0.M1 至 9.0.0.M20、8.5.0 至 8.5.14、8.0.0.RC1 至 8.0.43、7.0.0 至 7.0.77 版本的 Apache Tomcat 中的默认 Servlet 未执行此操作。根据原始请求，这可能会导致静态错误页面产生意外结果和不良结果，包括替换或删除自定义错误页面（如果 DefaultServlet 配置为允许写入）。
关于用户提供的其他错误页面的注释：(1) 除非另外明确编码，否则 JSP 会忽略 HTTP 方法。不管实际方法是什么，用作错误页面的 JSP 必须确保按 GET 请求处理任何分派的错误。(2) 默认情况下，Servlet 生成的响应的确要依赖于 HTTP 方法。不管实际方法是什么，用作错误页面的自定义 Servlet 必须确保按 GET 请求处理任何分派的错误。(CVE-2017-5664)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。