Vulnérabilité dans Apache Tomcat

Date de publication :

Une vulnérabilité a été découverte dans Apache Tomcat. Un attaquant distant exploitant cette vulnérabilité peut exécuter du code arbitraire sur la machine vulnérable. L’exploitation de cette vulnérabilité est cependant soumises à de nombreuses conditions.

CVE-2020-9484 [Score CVSS v3 : 9.8] : Une vulnérabilité de type exécution de code arbitraire a été découverte dans Apache Tomcat. Cette vulnérabilité ne peut être exploitée que si 4 conditions sont réunies, l’attaquant doit ainsi deviner ou obtenir certaines informations tandis que le serveur doit être configuré d’une façon spécifique (certaines conditions étant déjà respectées par défaut).

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire

Criticité

  • Score CVSS v3 : 9.8

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

  • Apache Tomcat 7.0 jusqu’à la version 7.0.103 (incluse)
  • Apache Tomcat 8.5 jusqu’à la version 8.5.54 (incluse)
  • Apache Tomcat 9.0.1 jusqu’à la version 9.0.34 (incluse)

CVE

  • CVE-2020-9484

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Apache Tomcat vers une version non-vulnérable (voir la section “composants vulnérables”)

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens