Vulnérabilité dans Apache Tomcat

Date de publication :

Une vulnérabilité a été découverte dans Apache Tomcat. Elle peut permettre à un attaquant distant d’accéder à des données confidentielles et d’exécuter du code arbitraire.

CVE-2020-1938 [Score CVSS v3 : 9.8] : Une vulnérabilité a été découverte dans le connecteur AJP (Apache JServ Protocol) d’Apache Tomcat, qui est activé par défaut. Cette vulnérabilité est due au niveau de confiance accordé aux connexions AJP par Apache Tomcat qui est plus haut que celui accordé à des connexions standards, par exemple HTTP.

Si un attaquant a accès à un connecteur AJP, il pourrait alors accéder à des données confidentielles. De plus, si l’application propose une fonctionnalité de téléchargement de fichier, un attaquant pourrait alors exécuter du code arbitraire en fournissant un fichier JSP (JavaServer Pages) spécialement forgé.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Atteinte à la confidentialité des données
  • Exécution de code arbitraire

Criticité

  • Score CVSS v3 : En cours de calcul

Existence d’un code d’exploitation

  • Des preuves de concept (PoC) sont disponibles publiquement.

Composants vulnérables

  • Apache Tomcat versions 7.0.0 à 7.0.99
  • Apache Tomcat versions 8.5.0 à 8.5.50
  • Apache Tomcat versions 9.0.0.M1 à 9.0.30

CVE

  •  CVE-2020-1938

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Apache Tomcat vers la version 7.0.100, 8.5.51 ou 9.0.31.

Solution de contournement

  • Il est recommandé de désactiver le connecteur AJP s’il n’est pas nécessaire.
     

Liens