現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 之 JBoss Enterprise Application Platform 5.1.2 的更新版 jbossweb 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Web 是一種在 JBoss Enterprise Application Platform 中以 Apache Tomcat 為基礎的 Web 容器。其提供適用於 JavaServer Pages (JSP) 和 Java Servlet 技術的訊號部署平台。

JBoss Web 處理 UTF-8 替代組字元的方式中發現一個瑕疵如果 JBoss Web 主控了含有啟用了以 UTF-8 字元編碼，或是回應中包含使用者提供的 UTF-8 字串之應用程式，遠端攻擊者便可利用此瑕疵在 JBoss Web 伺服器上造成拒絕服務 (無限迴圈)。
(CVE-2011-4610)

據發現，Java hashCode() 方法實作容易受到可預測的雜湊衝突影響。遠端攻擊者可利用這個瑕疵，透過傳送含有名稱對應到相同雜湊值之大量參數的 HTTP 要求，造成 JBoss Web 使用過多的 CPU 時間。這個更新會引入每個要求所要處理的參數和標頭數目上限，以減輕這個問題的影響。預設參數數目上限為 512，標頭數目上限為 128。設定 'jboss-as/server/[PROFILE]/deploy/properties-service.xml' 中的 org.apache.tomcat.util.http.Parameters.MAX_COUNT 和 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系統內容，即可變更這些預設值。
(CVE-2011-4858)

據發現，JBoss Web 未有效處理大量參數及大參數值。遠端攻擊者可透過傳送含有大量參數或大參數值的 HTTP 要求，造成 JBoss Web 使用過多的 CPU 時間。這個更新會導入每個要求所要處置參數和標頭的數目上限，以解決這個問題。
請參閱 CVE-2011-4858 描述來瞭解有關 org.apache.tomcat.util.http.Parameters.MAX_COUNT 及 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系統內容的資訊。
(CVE-2012-0022)

在 JBoss Web 處理 HTTP 摘要式驗證的方式中發現多個瑕疵。這些瑕疵會削弱 JBoss Web HTTP 摘要式驗證實作強度，使其容易遭受 HTTP BASIC 驗證的某些弱點影響，例如允許遠端攻擊者執行工作階段重播攻擊。(CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、CVE-2011-5064)

使用 HTTP APR (Apache Portable Runtime) 或 NIO (非封鎖 I/O) 連接器時，在 JBoss Web 處理 sendfile 要求屬性的方式中發現一個瑕疵。在 JBoss Web 執行個體上執行的惡意 Web 應用程式，可利用此瑕疵來繞過安全性管理員限制，取得原本無法存取的檔案之存取權，或可能終止 Java 虛擬機器 (JVM)。
(CVE-2011-2526)

Red Hat 要感謝 NTT OSSC 報告 CVE-2011-4610；
oCERT 報告 CVE-2011-4858 以及 Apache Tomcat 專案報告 CVE-2011-2526。oCERT 確認 Julian Wälde 和 Alexander Klink 是 CVE-2011-4858 問題的原始報告者。

警告：套用此更新之前，請先備份 JBoss Enterprise Application Platform 的‘jboss-as/server/[PROFILE]/deploy/’目錄，以及所有其他自訂組態檔。

在 Red Hat Enterprise Linux 4、5 和 6 中使用 JBoss Enterprise Application Platform 5.1.2 的使用者應升級至這些更新版套件，以更正這些問題。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

來自 Red Hat 安全性公告 2011:1780：

現已提供適用於 Red Hat Enterprise Linux 6 之更新的 tomcat6 套件，可修正多個安全性問題及一個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Apache Tomcat 是適用於 Java Servlet 和 JavaServer Pages (JSP) 技術的 Servlet 容器。

在 CVE-2011-3190 及 CVE-2011-2526 描述中所述的 APR (Apache Portable Runtime) 並未參照 apr 套件所提供的 APR。它參照的是由 Tomcat Native 程式庫提供的 APR 的實作，其可支援將 Tomcat 與 APR 搭配使用。Red Hat Enterprise Linux 6 並未隨附此程式庫。
這項更新包含的修正，適用於已選擇透過採用不同產品所提供的 Tomcat Native 程式庫，將 Tomcat 與 APR 搭配使用的使用者。
然而 Red Hat 並不支援這類組態。

在 Tomcat 處理 HTTP 摘要式驗證的方式中，發現了多個瑕疵。這些瑕疵會造成 Tomcat HTTP 摘要式驗證實作變弱，容易遭受 HTTP BASIC 驗證的某些弱點攻擊，例如會讓遠端攻擊者執行工作階段播放攻擊。(CVE-2011-1184)

在 Coyote (org.apache.coyote.ajp.AjpProcessor) 及 APR (org.apache.coyote.ajp.AjpAprProcessor) Tomcat AJP (Apache JServ Protocol) 連接器處理特定 POST 要求的方式中發現一個瑕疵。攻擊者可傳送特製要求，使得該連接器將訊息內文當作新要求來處理。這樣會導致插入任意 AJP，而可能進一步造成攻擊者繞過 Web 應用程式的驗證檢查，獲得其無法以其他方式存取的資訊的存取權限。當 APR 程式庫不存在時，則預設使用 JK (org.apache.jk.server.JkCoyoteHandler) 連接器。JK 連接器未受到此瑕疵的影響。(CVE-2011-3190)

在 Tomcat MemoryUserDatabase 中發現一個瑕疵。透過 JMX 用戶端建立新使用者時，若發生執行階段例外狀況，該使用者的密碼將記錄於 Tomcat 記錄檔。注意：依照預設，只有系統管理員才能存取這類記錄檔。(CVE-2011-2204)

當使用 HTTP APR 或 NIO (非封鎖 I/O) 連接器時，在 Tomcat 處理 sendfile 要求屬性的方式中發現一個瑕疵。在 Tomcat 執行個體上執行的惡意 Web 應用程式可使用此瑕疵來繞過安全性管理員限制，取得原本無法存取的檔案之存取權，或是可能終止 Java 虛擬機器 (JVM)。HTTP 封鎖 IO (BIO) 連接器不會受到此問題的影響，依預設會用於 Red Hat EnterpriseLinux 6 中。(CVE-2011-2526)

Red Hat 要感謝 Apache Tomcat 專案報告 CVE-2011-2526 問題。

此更新也可修正下列錯誤：

* 先前，在特定情況下，如果 'LANG=fr_FR' 或 'LANG=fr_FR.UTF-8' 被設為環境變數，或位於 64 位元 PowerPC 系統的 '/etc/sysconfig/tomcat6' 中，則無法正確啟動 Tomcat。
使用此更新，當 LANG 設為 'fr_FR' 或 'fr_FR.UTF-8' 時，即可依預期運作 Tomcat。(BZ#748807)

Tomcat 的使用者應升級至這些更新版套件，其中包含可解決這些問題的反向移植修補程式。必須重新啟動 Tomcat，此更新才能生效。

現已提供適用於 JBoss Enterprise Web Server 1.0.2 for Red Hat Enterprise Linux 5 和 6 的更新版 tomcat6 套件，可修正多個安全性問題和三個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Apache Tomcat 是一個 Servlet 容器。

JBoss Enterprise Web Server 隨附 Tomcat 原生程式庫，可提供適用於 Tomcat 的 Apache Portable Runtime (APR) 支援。此文字中的 APR 參照指的是 Tomcat 原生實作，並非任何其他 apr 套件。

此更新可修正 JBPAPP-4873、JBPAPP-6133 和 JBPAPP-6852 錯誤。
此外，還可修正下列安全性問題：

存在多個削弱 Tomcat HTTP 摘要式驗證實作強度的瑕疵，使其容易遭受 HTTP BASIC 驗證的某些弱點影響，例如允許遠端攻擊者執行工作階段重播攻擊。(CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、CVE-2011-5064)

在 Coyote (org.apache.coyote.ajp.AjpProcessor) 及 APR (org.apache.coyote.ajp.AjpAprProcessor) Tomcat AJP (Apache JServ Protocol) 連接器處理特定 POST 要求的方式中發現一個瑕疵。攻擊者可傳送特製要求，使得該連接器將訊息內文當作新要求來處理。這樣會導致插入任意 AJP，而可能進一步造成攻擊者繞過 Web 應用程式的驗證檢查，獲得其無法以其他方式存取的資訊的存取權限。當 APR 程式庫不存在時，則預設使用 JK (org.apache.jk.server.JkCoyoteHandler) 連接器。JK 連接器未受到此瑕疵的影響。(CVE-2011-3190)

Tomcat 在發生特定錯誤並回收含有使用者要求資料的物件 (例如 IP 位址和 HTTP 標頭) 時，所用的方式有一個瑕疵。若使用者傳送可使系統記錄錯誤的要求，Tomcat 在回傳回覆給下一個要求時，會隨附來自第一個使用者要求中的資料，進而導致資訊洩漏。在某些情況下，遠端攻擊者可利用此瑕疵劫持工作階段。(CVE-2011-3375)

Java hashCode() 方法實作容易受到可預測的雜湊衝突影響。遠端攻擊者可利用這個瑕疵，透過傳送含有名稱對應到相同雜湊值之大量參數的 HTTP 要求，造成 Tomcat 使用過多的 CPU 時間。這個更新會導入每個要求所要處置參數數目的上限，以減輕這個問題。預設參數數目上限為 512，標頭數目上限為 128。設定 org.apache.tomcat.util.http.Parameters.MAX_COUNT 及 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系統內容，便可更改這些預設值。
(CVE-2011-4858)

Tomcat 未有效處理大量參數和大型參數值。遠端攻擊者可透過傳送含有大量參數或大參數值的 HTTP 要求，造成 Tomcat 使用過多的 CPU 時間。這個更新會導入每個要求所要處置參數和標頭的數目上限，以解決這個問題。請參閱 CVE-2011-4858 描述來瞭解有關 org.apache.tomcat.util.http.Parameters.MAX_COUNT 及 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系統內容的資訊。
(CVE-2012-0022)

Tomcat MemoryUserDatabase 中有一個瑕疵。透過 JMX 用戶端建立新使用者時，若發生執行階段例外狀況，該使用者的密碼將記錄於 Tomcat 記錄檔。注意：依照預設，只有系統管理員才能存取這類記錄檔。(CVE-2011-2204)

使用 HTTP APR 或 NIO (非封鎖 I/O) 連接器時，在 Tomcat 處理 sendfile 要求屬性的方式中發現一個瑕疵。在 Tomcat 執行個體上執行的惡意 Web 應用程式可使用此瑕疵來繞過安全性管理員限制，取得原本無法存取的檔案之存取權，或是可能終止 Java 虛擬機器 (JVM)。在 JBoss Enterprise Web Server 中預設使用 HTTP NIO 連接器。(CVE-2011-2526)

Red Hat 要感謝 oCERT 報告 CVE-2011-4858，以及 Apache Tomcat 專案報告 CVE-2011-2526。oCERT 確認 Julian Wälde 和 Alexander Klink 是 CVE-2011-4858 問題的原始報告者。

更新后的 tomcat6 程序包修复了多种安全问题和三个缺陷，现在可用于针对 Red Hat Enterprise Linux 5 和 6 的 JBoss Enterprise Web Server 1.0.2。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Apache Tomcat 是 servlet 容器。

JBoss Enterprise Web Server 包括 Tomcat Native 库，提供对 Tomcat 的 Apache Portable Runtime (APR) 支持。有关此文本中对 APR 的引用，请参阅 Tomcat Native 实现，而非任何其他 apr 程序包。

此更新修复了 JBPAPP-4873、JBPAPP-6133 和 JBPAPP-6852 缺陷。
它还解决了以下安全问题：

多种缺陷会削弱 Tomcat HTTP DIGEST 认证实现，使其受 HTTP BASIC 认证的某些缺陷的影响，例如允许远程攻击者执行会话重放攻击。（CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、CVE-2011-5064）

在 Coyote (org.apache.coyote.ajp.AjpProcessor) 和 APR (org.apache.coyote.ajp.AjpAprProcessor) Tomcat AJP (Apache JServ Protocol) 连接器处理某些 POST 请求的方式中发现一个缺陷。攻击者可发送特别构建的请求，该请求会导致连接器将消息正文视为新请求。这允许注入任意 AJP 消息，并且可能允许攻击者绕过 Web 应用程序的认证检查并获取他们无法访问的信息的访问权限。当 APR 库不存在时，默认使用 JK (org.apache.jk.server.JkCoyoteHandler) 连接器。JK 连接器不受此缺陷的影响。(CVE-2011-3190)

出现某些错误时，Tomcat 回收包含来自用户请求的数据的对象（例如 IP 地址和 HTTP 标头）的方式中存在一个缺陷。如果用户发送导致记录错误的请求，那么 Tomcat 会将回复返回给下一个含有来自第一个用户的请求的数据的请求（此请求可以由不同的用户发送），从而导致信息泄露。在某些情况下，远程攻击者可利用此缺陷劫持会话。(CVE-2011-3375)

Java hashCode() 方法实现容易遭受可预测哈希冲突的影响。远程攻击者可利用此缺陷，通过发送包含名称映射到同一哈希值的大量参数的 HTTP 请求来导致 Tomcat 使用过量 CPU 时间。此更新引入对每个请求中处理的参数数量的限制以缓解此问题。参数的默认限制为 512，标头的默认限制为 128。可通过设置 org.apache.tomcat.util.http.Parameters.MAX_COUNT 和 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系统属性来更改这些默认值。
(CVE-2011-4858)

Tomcat 未有效处理大量参数和大参数值。远程攻击者可以通过发送包含大量参数或大参数值的 HTTP 请求导致 Tomcat 使用过量 CPU 时间。此更新引入对每个请求中处理的参数和标头的数量的限制以解决此问题。请参阅 CVE-2011-4858 描述以了解关于 org.apache.tomcat.util.http.Parameters.MAX_COUNT 和 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系统属性的信息。
(CVE-2012-0022)

Tomcat MemoryUserDatabase 中存在一个缺陷。使用 JMX 客户端创建新用户时，如果发生运行时异常，用户密码会被记录到 Tomcat 日志文件中。注意：默认情况下，只有管理员可以访问这些日志文件。(CVE-2011-2204)

当使用 HTTP APR 或 NIO（非阻塞 I/O）连接器时，Tomcat 处理 sendfile 请求属性的方式中存在一个缺陷。在 Tomcat 实例上运行的恶意 Web 应用程序可以利用此缺陷绕过安全管理器限制，并获取其无法访问的文件的访问权限，或者可能终止 Java 虚拟机 (JVM)。JBoss Enterprise Web Server 中默认使用 HTTP NIO 连接器。(CVE-2011-2526)

Red Hat 在此感谢 oCERT 报告 CVE-2011-4858，感谢 Apache Tomcat 项目报告 CVE-2011-2526。oCERT 感谢 CVE-2011-4858 的原始报告者 Julian Wälde 和 Alexander Klink。

更新后的 jbossweb 程序包修复了多种安全问题，现在可用于 JBoss Enterprise Application Platform 5.1.2 for Red Hat Enterprise Linux 4、5 和 6。

Red Hat 安全响应团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Web 为 JBoss Enterprise Application Platform 中基于 Apache Tomcat 的 Web 容器。它为 JavaServer Pages (JSP) 和 Java Servlet 技术提供了单一部署平台。

在 JBoss Web 处理 UTF-8 代理对字符的方式中发现一个缺陷。如果 JBoss Web 托管启用了 UTF-8 字符编码的应用程序或者响应中包含用户提供的 UTF-8 字符串的应用程序，远程攻击者可使用此缺陷在 JBoss Web 服务器上造成拒绝服务（无限循环）。
(CVE-2011-4610)

已发现 Java hashCode() 方法实现容易遭受可预测哈希冲突的攻击。通过发送包含名称映射到同一哈希值的大量参数的 HTTP 请求，远程攻击者可利用此缺陷导致 JBoss Web 使用过量 CPU 时间。此更新引入对每个请求处理的参数和标头数量的限制，以便缓解此问题。参数的默认限制为 512，标头的默认限制为 128。可通过在“jboss-as/server/[PROFILE]/deploy/properties-service.xml”中设置 org.apache.tomcat.util.http.Parameters.MAX_COUNT 和 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系统属性来更改这些默认值。
(CVE-2011-4858)

发现 JBoss Web 未有效处理大量参数和大型参数。通过发送包含大量参数或大型参数值的 HTTP 请求，远程攻击者可使 JBoss Web 服务器使用过量 CPU 时间。此更新引入对每个请求中处理的参数和标头的数量的限制以解决此问题。
请参阅 CVE-2011-4858 描述以了解关于 org.apache.tomcat.util.http.Parameters.MAX_COUNT 和 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系统属性的信息。
(CVE-2012-0022)

在 JBoss Web 处理 HTTP 摘要式认证的方式中发现多种缺陷。这些缺陷削弱了 JBoss Web HTTP 摘要式身份验证实现，使其受到 HTTP BASIC 身份验证的某些漏洞的影响，例如允许远程攻击者执行会话重播攻击。（CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、CVE-2011-5064）

使用 HTTP APR (Apache Portable Runtime) 或 NIO（非阻塞 I/O）连接器时，在 JBoss Web 处理 sendfile 请求属性的方式中发现一个缺陷。JBoss Web 实例上运行的恶意 Web 应用程序可使用此缺陷来绕过安全管理器限制并获得对其本应无法访问的文件的访问权限，或者可能终止 Java 虚拟机 (JVM)。
(CVE-2011-2526)

Red Hat 在此感谢 NTT OSSC 报告 CVE-2011-4610；
感谢 oCERT 报告 CVE-2011-4858；感谢 Apache Tomcat 项目报告 CVE-2011-2526。oCERT 感谢 CVE-2011-4858 的原始报告者 Julian Wälde 和 Alexander Klink。

警告：应用此更新之前，请备份 JBoss Enterprise Application Platform 的“jboss-as/server/[PROFILE]/deploy/”目录，以及所有其他自定义配置文件。

Red Hat Enterprise Linux 4、5 和 6 中的 JBoss Enterprise Application Platform 5.1.2 用户应升级这些更新后的程序包，其中修正了这些问题。必须重新启动 JBoss 服务器进程以使此更新生效。

来自 Red Hat 安全公告 2011:1780：

更新后的 tomcat6 程序包修复了多个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。

CVE-2011-3190 和 CVE-2011-2526 描述中提及的 APR (Apache Portable Runtime) 并非指 apr 程序包提供的 APR。它是指 Tomcat 原生库提供的 APR 的实现，Tomcat Native 库支持将 APR 与 Tomcat 一起使用。Red Hat Enterprise Linux 6 不随附此库。
此更新为选择通过从其他产品获取 Tomcat Native 库以将 APR 与 Tomcat 一起使用的用户提供补丁。
但是 Red Hat 不支持这种配置。

在 Tomcat 处理 HTTP 摘要式认证的方式中发现多种缺陷。这些缺陷会削弱 Tomcat HTTP 摘要式认证实现，使其受 HTTP BASIC 认证的某些缺陷的影响，例如，允许远程攻击者执行会话重放攻击。(CVE-2011-1184)

在 Coyote (org.apache.coyote.ajp.AjpProcessor) 和 APR (org.apache.coyote.ajp.AjpAprProcessor) Tomcat AJP (Apache JServ Protocol) 连接器处理某些 POST 请求的方式中发现一个缺陷。攻击者可发送特别构建的请求，该请求会导致连接器将消息正文视为新请求。这允许注入任意 AJP 消息，并且可能允许攻击者绕过 Web 应用程序的认证检查并获取他们无法访问的信息的访问权限。当 APR 库不存在时，默认使用 JK (org.apache.jk.server.JkCoyoteHandler) 连接器。JK 连接器不受此缺陷的影响。(CVE-2011-3190)

在 Tomcat MemoryUserDatabase 中发现一个缺陷。使用 JMX 客户端创建新用户时，如果发生运行时异常，用户密码会被记录到 Tomcat 日志文件中。注意：默认情况下，只有管理员可以访问这些日志文件。(CVE-2011-2204)

当使用 HTTP APR 或 NIO（非阻塞 I/O）连接器时，在 Tomcat 处理 sendfile 请求属性的方式中发现一个缺陷。在 Tomcat 实例上运行的恶意 Web 应用程序可以利用此缺陷绕过安全管理器限制，并获取其无法访问的文件的访问权限，或者可能终止 Java 虚拟机 (JVM)。HTTP 阻塞 IO (BIO) 连接器不易受此问题的影响，且默认用于 Red Hat Enterprise Linux 6 中。(CVE-2011-2526)

Red Hat 在此感谢 Apache Tomcat 项目报告 CVE-2011-2526 问题。

此更新还修复以下缺陷：

* 以前在某些情况下，如果“LANG=fr_FR”或“LANG=fr_FR.UTF-8”设置为环境变量或设置在 64 位 PowerPC 系统上的“/etc/sysconfig/tomcat6”中，Tomcat 可能无法正确启动。
通过此更新，当 LANG 设为“fr_FR”或“fr_FR.UTF-8”时，Tomcat 可正常运行。(BZ#748807)

Tomcat 用户应升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动 Tomcat，才能使此更新生效。

在 servlet 和 JSP 引擎 Tomcat 中发现了多个漏洞：

- CVE-2011-1184 CVE-2011-5062 CVE-2011-5063 CVE-2011-5064 HTTP Digest Access Authentication 实现对回放攻击执行的对策不充分。

- CVE-2011-2204 在极少的设置中，密码被写入日志文件中。

- CVE-2011-2526 HTTP APR 或 HTTP NIO 连接器中缺少输入审查可导致拒绝服务。

- CVE-2011-3190 某些设置中可伪造 AJP 请求。

- CVE-2011-3375 不正确的请求缓存可导致信息泄露。

- CVE-2011-4858 CVE-2012-0022 此更新添加了针对 Java 哈希表实现中的冲突拒绝服务漏洞的对策，解决了处理大量请求时潜在的拒绝服务。

有关更多信息，请访问

更新后的 tomcat6 程序包修复了多个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。

CVE-2011-3190 和 CVE-2011-2526 描述中提及的 APR (Apache Portable Runtime) 并非指 apr 程序包提供的 APR。它是指 Tomcat 原生库提供的 APR 的实现，Tomcat Native 库支持将 APR 与 Tomcat 一起使用。Red Hat Enterprise Linux 6 不随附此库。
此更新为选择通过从其他产品获取 Tomcat Native 库以将 APR 与 Tomcat 一起使用的用户提供补丁。
但是 Red Hat 不支持这种配置。

在 Tomcat 处理 HTTP 摘要式认证的方式中发现多种缺陷。这些缺陷会削弱 Tomcat HTTP 摘要式认证实现，使其受 HTTP BASIC 认证的某些缺陷的影响，例如，允许远程攻击者执行会话重放攻击。(CVE-2011-1184)

在 Coyote (org.apache.coyote.ajp.AjpProcessor) 和 APR (org.apache.coyote.ajp.AjpAprProcessor) Tomcat AJP (Apache JServ Protocol) 连接器处理某些 POST 请求的方式中发现一个缺陷。攻击者可发送特别构建的请求，该请求会导致连接器将消息正文视为新请求。这允许注入任意 AJP 消息，并且可能允许攻击者绕过 Web 应用程序的认证检查并获取他们无法访问的信息的访问权限。当 APR 库不存在时，默认使用 JK (org.apache.jk.server.JkCoyoteHandler) 连接器。JK 连接器不受此缺陷的影响。(CVE-2011-3190)

在 Tomcat MemoryUserDatabase 中发现一个缺陷。使用 JMX 客户端创建新用户时，如果发生运行时异常，用户密码会被记录到 Tomcat 日志文件中。注意：默认情况下，只有管理员可以访问这些日志文件。(CVE-2011-2204)

当使用 HTTP APR 或 NIO（非阻塞 I/O）连接器时，在 Tomcat 处理 sendfile 请求属性的方式中发现一个缺陷。在 Tomcat 实例上运行的恶意 Web 应用程序可以利用此缺陷绕过安全管理器限制，并获取其无法访问的文件的访问权限，或者可能终止 Java 虚拟机 (JVM)。HTTP 阻塞 IO (BIO) 连接器不易受此问题的影响，且默认用于 Red Hat Enterprise Linux 6 中。(CVE-2011-2526)

Red Hat 在此感谢 Apache Tomcat 项目报告 CVE-2011-2526 问题。

此更新还修复以下缺陷：

* 以前在某些情况下，如果“LANG=fr_FR”或“LANG=fr_FR.UTF-8”设置为环境变量或设置在 64 位 PowerPC 系统上的“/etc/sysconfig/tomcat6”中，Tomcat 可能无法正确启动。
通过此更新，当 LANG 设为“fr_FR”或“fr_FR.UTF-8”时，Tomcat 可正常运行。(BZ#748807)

Tomcat 用户应升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动 Tomcat，才能使此更新生效。

远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2011:1845 公告中提及的多个漏洞影响。

  - tomcat：文件权限绕过缺陷 (CVE-2010-3718)

  - tomcat：HTML 管理器界面中存在 XSS 漏洞 (CVE-2011-0013)

  - tomcat：HTTP DIGEST 身份验证中存在多个漏洞（CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、CVE-2011-5064）

  - tomcat：密码泄露漏洞 (CVE-2011-2204)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Versions of Tomcat 7.0.x earlier than 7.0.12 are potentially affected by multiple vulnerabilities : 

  - An information disclosure exists in the HTTP BIO connector. (CVE-2011-1475)

  - A security bypass vulnerability exists due to a regression in the fix for CVE-2011-1088.  Note that this issue only affects Tomcat 7.0.11.(CVE-2011-1183)

ID	Name	Product	Family	Published	Updated	Severity
64022	RHEL 4 / 5 / 6：jbossweb (RHSA-2012:0074)	Nessus	Red Hat Local Security Checks	1/24/2013	4/27/2024	medium
68399	Oracle Linux 6：tomcat6 (ELSA-2011-1780)	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	high
78925	RHEL 5 / 6：JBoss Web Server (RHSA-2012:0682)	Nessus	Red Hat Local Security Checks	11/8/2014	4/27/2024	high
78925	RHEL 5 / 6：JBoss Web Server (RHSA-2012:0682)	Nessus	Red Hat Local Security Checks	11/8/2014	4/27/2024	high
64022	RHEL 5 / 6：jbossweb (RHSA-2012: 0074)	Nessus	Red Hat Local Security Checks	1/24/2013	4/27/2024	medium
68399	Oracle Linux 6：tomcat6 (ELSA-2011-1780)	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	high
57812	Debian DSA-2401-1：tomcat6 - 多个漏洞	Nessus	Debian Local Security Checks	2/3/2012	1/11/2021	high
57023	RHEL 6：tomcat6 (RHSA-2011:1780)	Nessus	Red Hat Local Security Checks	12/6/2011	1/14/2021	high
57356	RHEL 5：tomcat5 (RHSA-2011:1845)	Nessus	Red Hat Local Security Checks	12/21/2011	4/21/2024	medium
57374	CentOS 6：tomcat6 (CESA-2011:1780)	Nessus	CentOS Local Security Checks	12/23/2011	1/4/2021	high
800625	Apache Tomcat 7.0.x < 7.0.12 Multiple Vulnerabilities	Log Correlation Engine	Web Servers	4/7/2011		medium

Detections

Analytics

Plugins Search

medium

high

high

high

medium

high

high

high

medium

high

medium