Зависит от Nessus или использует пути каталогов для определения версий?

Question

У меня немного замешательство, которое происходит здесь, на работе. Я и горстка инженеров считают, что nessus (будучи сканером портов, насколько нам известно) не волнует, что я хочу переименовать каталог tomcat на нашем сервере из /usr/java/apache-tomcat-5.5.33 в/usr/java/apache-tomcat.

Я хочу сделать это, чтобы облегчить жизнь в следующий раз, когда мы вынуждены обновлять наши серверы, когда клиент плачет «Уязвимость!».

Так что, если я хочу, чтобы путь сервера tomcat был общим, Nessus не волнует один бит. Этот продукт (Nessus) сможет полностью вынюхать версию продукта.

Верно ли это?

Благодарим за помощь.

-dklotz

-edit- Вот это сканирование сообщил нам заказчиком.

Apache Tomcat 5.5.x < 5.5.34 Multiple Vulnerabilities Category: Web Servers 
Description: 

According to its self-reported version number, the instance of Apache 
Tomcat 5.5.x listening on the remote host is earlier than 5.5.34 and 
is affected by multiple vulnerabilities: 

    - Several weaknesses were found in the HTTP Digest 
    authentication implementation. The issues are as 
    follows: replay attacks are possible, server nonces 
    are not checked, client nonce counts are not checked, 
    'quality of protection' (qop) values are not checked, 
    realm values are not checked and the server secret is 
    a hard-coded, known string. The effect of these issues 
    is that Digest authentication is no stronger than Basic 
    authentication. (CVE-2011-1184, CVE-2011-5062, 
    CVE-2011-5063, CVE-2011-5064) 

    - An error handling issue exists related to the 
    MemoryUserDatabase that allows user passwords to be 
    disclosed through log files. (CVE-2011-2204) 

    - An input validation error exists that allows a local 
    attacker to either bypass security or carry out denial 
    of service attacks when the APR or NIO connectors are 
    enabled. (CVE-2011-2526) 

    - A component that Apache Tomcat relies on called 'jsvc' 
    contains an error in that it does not drop capabilities 
    after starting and can allow access to sensitive files 
    owned by the super user. Note this vulnerability only 
    affects Linux operating systems and only when 'jsvc' is 
    compiled with libpcap and the '-user' parameter is 
    used. (CVE-2011-2729) 

    - Specially crafted requests are incorrectly processed by 
    Tomcat and can cause the server to allow injection of 
    arbitrary AJP messages. This can lead to authentication 
    bypass and disclosure of sensitive information. Note 
    this vulnerability only occurs when the 
    org.apache.jk.server.JkCoyoteHandler AJP connector is 
    not used, POST requests are accepted, and the request 
    body is not processed.(CVE-2011-3190) 

Note that Nessus did not actually test for the flaws but instead has 
relied on the version in Tomcat's banner or error page. 

    Vuln Publication Date: 6/27/2011 
Plugin Publication Date: 9/26/2011 
Easy to Exploit: Exploits are available 
Exploit Available: true 
CVSS Vector: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P 
CVSS Base Score: 7.5 
CVSS Temporal Vector: CVSS2#E:F/RL:OF/RC:C 
CVSS Temporal Score: 6.2 
CVE: CVE-2011-1184 
CVE-2011-2204 
CVE-2011-2526 
CVE-2011-2729 
CVE-2011-3190 
CVE-2011-5062 
CVE-2011-5063 
CVE-2011-5064 

Cross Reference: OSVDB:73429 
OSVDB:73797 
OSVDB:73798 
OSVDB:74541 
OSVDB:74818 
OSVDB:76189 

See Also: http://tomcat.apache.org/security-5.html#Fixed_in_Apache_Tomcat_5.5.34 

Bug Traq ID: 48456 
48667 
49143 
49353 
49762 

Answer 1

:: делает ответ от комментариев ::

Это фактический отчет об уязвимости. Если он получил информацию от баннера tomcat, он мог бы сделать это через порт открытой веб-службы, и в этом случае нет учетных данных, и ему все равно, где действительно находится каталог tomcat. Это не означает, что у вас нет учетных данных, но это просто означает, что возможно получить эту информацию без них. Вы можете попытаться переместить его и повторить проверку, чтобы определить, обнаружит ли он вуль, или отредактируйте сканирование и выберите раздел «Политика/учетные данные», вы можете увидеть, есть ли учетные данные, указанные для этого конкретного сканирования.

У проверенных учетных записей есть данные для входа в систему, а не проверенные на предмет сканирования - нет.

Я вижу, что вы также нашли дискуссионный портал Tenable - я собирался указать вас туда дальше! :-) Я согласен с последним сообщением Джорджа - «remote check» = «uncredentialed» в терминах, которые я использовал. НТН!