Apache Tomcat '@ServletSecurity'注释安全限制绕过漏洞

<a href="https://cxsecurity.com/issue/WLB-2011030159" target="_blank">https://cxsecurity.com/issue/WLB-2011030159</a><br/> <a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201103-200" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201103-200</a><br/>

ApacheApacheTomcat是美国阿帕奇（Apache）软件基金会下属的Jakarta项目的一款轻量级Web应用服务器，它主要用于开发和调试JSP程序，适用于中小型系统。当web.xml不存在安全限制时，ApacheTomcat7.0.11之前的7.x版本没有遵循ServletSecurity注释。远程攻击者可以借助对web应用程序的HTTP请求，绕过预设的访问限制。

来源:XF
名称:tomcat-servletsecurity-sec-bypass(65971)
链接:http://xforce.iss.net/xforce/xfdb/65971
来源:VUPEN
名称:ADV-2011-0563
链接:http://www.vupen.com/english/advisories/2011/0563
来源:BID
名称:46685
链接:http://www.securityfocus.com/bid/46685
来源:OSVDB
名称:71027
链接:http://www.osvdb.org/71027
来源:tomcat.apache.org
链接:http://tomcat.apache.org/security-7.html
来源:svn.apache.org
链接:http://svn.apache.org/viewvc?view=revision&revision=1079752
来源:SECUNIA
名称:43684
链接:http://secunia.com/advisories/43684
来源:MLIST
名称:[users]20110302Re:@DenyAlldoesnothing
链接:http://markmail.org/message/yzmyn44f5aetmm2r
来源:MLIST
名称:[users]20110302Re:@DenyAlldoesnothing
链接:http://markmail.org/message/lzx5273wsgl5pob6
来源:MLIST
名称:[users]20110309[SECURITY]Tomcat7ignores@ServletSecurityannotations
链接:http://marc.info/?l=tomcat-user&m=129966773405409&w=2
来源:MLIST
名称:[announce]20110302[SECURITY]Tomcat7ignores@ServletSecurityannotations
链接:http://mail-archives.apache.org/mod_mbox/www-announce/201103.mbox/%3C4D6E74FF.7050106@apache.org%3E