Apache Tomcat '@ServletSecurity'注释安全限制绕过漏洞

<a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201103-198" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201103-198</a><br/>

ApacheApacheTomcat是美国阿帕奇（Apache）软件基金会下属的Jakarta项目的一款轻量级Web应用服务器，它主要用于开发和调试JSP程序，适用于中小型系统。ApacheTomcat7.0.10之前的7.x版本中存在安全限制绕过漏洞。由于应用程序在加载小服务程序时未能正确执行"@ServletSecurity"注释，远程攻击者可以借助对web应用程序的HTTP请求，绕过预设的访问限制。

来源:XF
名称:tomcat-servletsecurity-sec-bypass(65971)
链接:http://xforce.iss.net/xforce/xfdb/65971
来源:VUPEN
名称:ADV-2011-0563
链接:http://www.vupen.com/english/advisories/2011/0563
来源:BID
名称:46685
链接:http://www.securityfocus.com/bid/46685
来源:OSVDB
名称:71027
链接:http://www.osvdb.org/71027
来源:tomcat.apache.org
链接:http://tomcat.apache.org/security-7.html
来源:svn.apache.org
链接:http://svn.apache.org/viewvc?view=revision&revision=1077995
来源:svn.apache.org
链接:http://svn.apache.org/viewvc?view=revision&revision=1076587
来源:svn.apache.org
链接:http://svn.apache.org/viewvc?view=revision&revision=1076586
来源:SECUNIA
名称:43684
链接:http://secunia.com/advisories/43684
来源:MLIST
名称:[users]20110302Re:@DenyAlldoesnothing
链接:http://markmail.org/message/yzmyn44f5aetmm2r
来源:MLIST
名称:[users]20110302Re:@DenyAlldoesnothing
链接:http://markmail.org/message/lzx5273wsgl5pob6
来源:MLIST
名称:[announce]20110302[SECURITY]Tomcat7ignores@ServletSecurityannotations
链接:http://mail-archives.apache.org/mod_mbox/www-announce/201103.mbox/%3C4D6E