On Mon, Sep 20, 2021 at 11:55:50AM +0200, Piviul wrote: > Ciao a tutti, un consulente ha lanciato nessus[¹] della tenable, un > tool leader secondo loro per verificare le falle di sicurezza presenti > in una LAN, sulla nostra rete locale e fra le altre cose ha segnalato > che su un server con debian buster aggiornato ha ritrovato le seguenti > falle di sicurezza: > > Severity CVSS v3.0 Plugin Name > > High 5.0 138098 Apache Tomcat 9.0.0.M1 < 9.0.36 DoS > High 5.0 138591 Apache Tomcat 9.0.0.M1 < 9.0.37 > Multiple Vulnerabilities > High 5.0 147164 Apache Tomcat 9.0.0.M1 < 9.0.43 > Multiple Vulnerabilities > High 5.0 144050 Apache Tomcat 9.x < 9.0.40 > Information Disclosure > High 4.4 136806 Apache Tomcat 9.0.0 < 9.0.35 > Remote Code Execution > Medium 6.1 104743 TLS Version 1.0 Protocol Detection
Almeno per quanto riguarda TLS, questa è una impostazione di Apache. https://tecadmin.net/enable-tls-in-modssl-and-apache/ > Medium 5.0 152182 Apache Tomcat 9.0.0.M1 < 9.0.48 > vulnerability > Medium 5.0 12085 Apache Tomcat Default Files > Medium 4.0 141446 Apache Tomcat 8.5.x < 8.5.58 / > 9.0.x < 9.0.38 HTTP/2 Request Mix-Up > > in effetti ho verificato e la versione in buster di Tomcat è 9.0.31 > che è minore della 9.0.36; poi sono andato a vedere i codici dei > plugin di riferimento sul sito della tenable e ho trovato i seguenti: > > https://www.tenable.com/plugins/nessus/138098 > https://www.tenable.com/plugins/nessus/138591 > https://www.tenable.com/plugins/nessus/147164 > https://www.tenable.com/plugins/nessus/144050 > https://www.tenable.com/plugins/nessus/136806 > > A questo punto sono andato a vedere cosa diceva debian sui CVE relativi: > > https://security-tracker.debian.org/tracker/CVE-2020-11996 > https://security-tracker.debian.org/tracker/CVE-2020-13935 > https://security-tracker.debian.org/tracker/CVE-2021-25122 > https://security-tracker.debian.org/tracker/CVE-2020-17527 > https://security-tracker.debian.org/tracker/CVE-2020-9484 > > e in tutti i casi dice che il problema è stato risolto. A questo punto > credo che il problema sia nel plugin nessus... > > Ve l'ho fatta forse troppo lunga e finalmente vengo al dunque: siccome > ho altri dubbi sul loro scanner esiste uno scanner libero che rilevi i > problemi di sicurezza dei devices in una LAN? > > [¹] https://www.tenable.com/products/nessus/nessus-professional Saluti -- Felipe Salvador