ZeroBox Vulnerability Database

漏洞起因
设计错误
危险等级
低
 
影响系统
Apache Software Foundation Tomcat 7.0.16
 Apache Software Foundation Tomcat 7.0.15
 Apache Software Foundation Tomcat 7.0.14
 Apache Software Foundation Tomcat 7.0.13
 Apache Software Foundation Tomcat 7.0.12
 Apache Software Foundation Tomcat 7.0.12
 Apache Software Foundation Tomcat 7.0.9
 Apache Software Foundation Tomcat 7.0.8
 Apache Software Foundation Tomcat 7.0.8
 Apache Software Foundation Tomcat 7.0.7
 Apache Software Foundation Tomcat 7.0.6
 Apache Software Foundation Tomcat 7.0.6
 Apache Software Foundation Tomcat 7.0.4
 Apache Software Foundation Tomcat 7.0.4
 Apache Software Foundation Tomcat 7.0.3
 Apache Software Foundation Tomcat 7.0.3
 Apache Software Foundation Tomcat 7.0.2
 Apache Software Foundation Tomcat 7.0.2
 Apache Software Foundation Tomcat 7.0.1
 Apache Software Foundation Tomcat 7.0.1
 Apache Software Foundation Tomcat 7.0 beta
 Apache Software Foundation Tomcat 7.0
 Apache Software Foundation Tomcat 7.0.5
 Apache Software Foundation Tomcat 7.0.11
 Apache Software Foundation Tomcat 7.0.10
 Apache Software Foundation Tomcat 7.0
 
不受影响系统
Apache Software Foundation Tomcat 7.0.17
 
危害
远程攻击者可以利用漏洞获得敏感信息。
 
攻击所需条件
攻击者必须访问Apache Tomcat。
 
漏洞信息
Apache Tomcat是一款开放源码的JSP应用服务器程序。
Tomcat 7.0.x版本使用的XML校验重构重新引入了之前CVE-2009-0783报告的安全漏洞。这最初的报告是内存泄露(https://issues.apache.org/bugzilla/show_bug.cgi?id=51395)。如果WEB应用程序是作为第一个WEB应用程序装载，此缺陷允许WEB应用程序查看或修改配置在TOmcat实例上其他WEB应用程序的web.xml，context.xml和tld文件。
 
测试方法
 
厂商解决方案
Apache Software Foundation Tomcat 7.0.17已经修复此漏洞，建议用户下载使用：
http://tomcat.apache.org/
 
漏洞提供者
Apache
 
漏洞消息链接
http://tomcat.apache.org/security-7.html
http://seclists.org/fulldisclosure/2011/Aug/106