Vulnérabilités dans Apache Tomcat

Date de publication :

CVE-2021-25329 [Score CVSS v3 : 7.0] : Lors de l'utilisation d'Apache Tomcat avec un cas limite de configuration dont l'utilisation était très peu probable, l'instance Tomcat était toujours vulnérable à CVE-2020-9494. Cette vulnérabilité peut être exploitée par un attaquant local et authentifié afin de provoquer un déni de service.

CVE-2021-25122[Score CVSS v3 : 7.5] : Lorsqu'il réponds à de nouvelles demandes de connexion h2c, Apache Tomcat peut dupliquer les en-têtes et une quantité limitée de la charge utile des demandes d'une demande à l'autre.  Cela signifie qu’un utilisateur A et un utilisateur B peuvent tous deux voir les résultats de la demande de l'utilisateur A. Un attaquant distant et non-authentifié peut exploiter cette faille afin d’exposer des informations sensibles.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Déni de service
  • Expositions d’informations sensibles

Criticité

  • Scores CVSS v3 : 7.0 ; 7.5

Existence d’un code d’exploitation

  • Aucun code d'exploitation n’est disponible à l'heure actuelle.

Composants vulnérables

  • Apache Tomcat 10.0.0-M1 à 10.0.0, 9.0.0.M1 à 9.0.41, 8.5.0 à 8.5.61 ou 7.0.0. à 7.0.10
  • Certains logiciels utilisant Apache Tomcat, tel que F5 Traffix SDC v5.1.0, sont également impactés.

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

Mettre à jour Apache Tomcat vers une des versions suivantes :

  • 10.0.2

  • 9.0.42

  • 8.5.62

  • 7.0.11

Solution de contournement

  • Aucune solution de contournement n’est disponible publiquement à l’heure actuelle.

Liens