这 14 条,你在三个地方分别看到的是:

唯一完整说了这件事的,是 CVE.org 上 Apache 作为 CNA 提交的原始记录 —— 也就是最少人会去翻的那一层。本工具做的就是把那一层的信息,对着你机器上真实装的版本摆出来。

🔴 本工具陈述的是数据源之间的差异,不是某个产品的行为。 「你的扫描器会不会报这 10 条」取决于它读哪个库、怎么合并 —— 那没有实测过,所以这里不会写。

另一半同样重要:14 条里只有 2 条是默认配置就中招的

只按版本号报,等于把 12 条「要特定配置才成立」的条目也说成「你中了」—— 那是让你去做一件不必要的事。

所以给出安装目录时,本工具会读 conf/ 下的全部 XML(含 conf/Catalina/<host>/), 剥掉注释块之后再找触发条件的标记。剥注释不是可选项: 官方 server.xml 里 UpgradeProtocol 文本搜索命中 1 次,剥注释后是 0 次 —— 它整段是被注释掉的。

对官方 8.5.100 裸装跑出来是这样:

同一套配置里打开 HTTP/2、RewriteValve、CGIServlet 之后,「配置已确认」变成 5 条。

用法

解压部署的版本号是怎么认出来的

lib/ 下的 jar 文件名里一个版本号都没有(是 catalina.jar,不是 catalina-8.5.100.jar)。 只按文件名取版本的工具,在这类部署上一条都认不出来 —— 而「没扫到」看起来和「你很安全」一模一样。

本工具按这个顺序取版本:

1. catalina.jar!/org/apache/catalina/util/ServerInfo.properties 的 server.number —— Tomcat 自己的 version.sh 报的就是它
2. META-INF/MANIFEST.MF 的 Implementation-Version
3. 文件名(只有 Spring Boot 内嵌那种形态才有)

两个来源对不上时(ServerInfo.properties 是可以被覆盖的,常被用来隐藏版本), 两个都报出来,不替你选。

三条不会越过的线

一、能确认开启,不能确认没开。 报告里说「没找到」,意思是在我看过的文件里没找到,不是「你没开」。 配置可以出现在本工具看不到的地方:war 包内的 WEB-INF/web.xml、外部 CATALINA_BASE、启动参数。 所以没有「不受影响」这个档位 —— 找不到一律落进需人工确认。

二、找到了也不总等于就是它。 比如官方默认 server.xml 里 AprLifecycleListener 本来就是启用的, 而它只是尝试加载 native 库 —— 库不存在时 APR 连接器不会启用。 所以它是「弱标记」:命中只报「有可能」,不报「已确认」。

三、没有可升的 8.5 版本。 14 条的 first_patched_version 在 8.5 那一侧全是 null。 不是「还没修」,是「不会为 8.5 修了」。 唯一的出路是换线(9.0 / 10.1 / 11.0)。 本工具回答「你中了什么」,不假装能回答「升到哪个 8.5」。

还有一件容易让你以为「工具报错了」的事:同一条 CVE 有好几个评级

拿 CVE-2025-55754 举例,四个数字都是真的:

如果只看 NVD,你会以为这是最严重的一条;只看 Apache,你会以为可以不管。 两个都不是错的 —— Apache 评的是默认配置下的实际可利用性,CVSS 是按向量机械计算、不看你开没开那个功能。

所以本工具四个数字全印出来,并在两边判得不一样时明确说出来。

两套词表不是一回事,对齐只做官方支持的那一步

Apache 用 low / moderate / important / critical,GitHub 用 low / medium / high / critical。 对齐依据来自 Tomcat 官方 security-impact.html 原文:

Important / High — A vulnerability rated as Important (or High) impact is one which could result in the compromise of data or availability of the server.

→ Important 和 High 是同一档的两个叫法,这是官方自己写在一起的。 🔴 而 moderate 与 medium 官方没说能对齐,本工具也不替它对 —— ASF 的 Moderate 定义的是「有显著缓解因素 / 不影响常见配置 / 需要认证」这类可利用性条件, GitHub 的 medium 是 CVSS 分数区间,两者不是一回事。这种情况报「官方没说这两档相等」,两个都摆给你。

按这个口径,14 条里 5 条两边判得实质不同(最远的 CVE-2025-52520:Apache low / GitHub high), 2 条对不齐,7 条相同。

数据从哪来,怎么复现

判定表 CveTable.java 是生成的,一行都不手抄:

发文/发布前还要再跑一次独立口径的复核 —— 它不读上面那份 sources.json, 而是解析生成出来的 CveTable.java,再按 cpe 查一次 NVD:

这一步不是走过场:它第一次运行就抓到了一个真错。 生成脚本判「NVD 有没有 8.5」时只认「区间下界以 8.5 开头」, 而 CVE-2025-24813 写的是 versionStartIncluding=None .. versionEndExcluding=9.0.99 —— 下界开放,它是覆盖 8.5 的。差集因此多算了一条。 逐条查 cveId 永远发现不了它;换成「拿 8.5.100 按 cpe 查一次」这个用户视角的口径才撞出来。

构建

需要 JDK 17+。运行时零依赖,JUnit 仅测试期。

License

MIT —— 见 LICENSE