CVE-2016-6817
WysokieStreszczenie
Parser nagłówków HTTP/2 w Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M11 oraz od 8.5.0 do 8.5.6 wchodził w nieskończoną pętlę, gdy otrzymał nagłówek większy niż dostępny bufor. To umożliwiało przeprowadzenie ataku typu denial of service.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zablokowania usługi, co prowadzi do przestojów w działaniu aplikacji i potencjalnych strat finansowych dla organizacji.
Rekomendacja
Zaleca się aktualizację Apache Tomcat do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie systemów pod kątem nieautoryzowanych prób ataków.
Inne podatności w Apache Tomcat
Zobacz wszystkie- CVE-2026-43513Wysokie
Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.
- CVE-2026-42498Wysokie
Podatność w Apache Tomcat związana z ujawnieniem nagłówka uwierzytelniania HTTP nieoczekiwanym hostom podczas uwierzytelniania WebSocket. Dotyczy wersji od 11.0.0-M1 do 11.0.21, 10.1.0-M1 do 10.1.54, 9.0.2 do 9.0.117, 8.5.24 do 8.5.100 oraz 7.0.83 do 7.0.109.
- CVE-2026-41284Wysokie
W Apache Tomcat występuje podatność związana z alokacją zasobów bez ograniczeń lub throttlingu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54 oraz od 9.0.0.M1 do 9.0.117.
- CVE-2025-48989Wysokie
Podatność w Apache Tomcat związana z niewłaściwym zamykaniem lub zwalnianiem zasobów umożliwia atak typu 'made you reset'. Dotyczy to wersji od 11.0.0-M1 do 11.0.9, od 10.1.0-M1 do 10.1.43 oraz od 9.0.0.M1 do 9.0.107.
- CVE-2017-7675Wysokie
Implementacja HTTP/2 w Apache Tomcat od wersji 9.0.0.M1 do 9.0.0.M21 oraz od 8.5.0 do 8.5.15 omijała szereg zabezpieczeń, które zapobiegały atakom typu directory traversal. Możliwe było obejście ograniczeń bezpieczeństwa przy użyciu specjalnie skonstruowanego URL.
- CVE-2016-6796Wysokie
Złośliwa aplikacja webowa działająca na Apache Tomcat w wersjach od 6.0.0 do 9.0.0.M9 mogła obejść skonfigurowany SecurityManager poprzez manipulację parametrami konfiguracyjnymi dla serwletu JSP.
- CVE-2016-6797Wysokie
Implementacja ResourceLinkFactory w Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M9, 8.5.0 do 8.5.4, 8.0.0.RC1 do 8.0.36, 7.0.0 do 7.0.70 oraz 6.0.0 do 6.0.45 nie ograniczała dostępu aplikacji webowych do globalnych zasobów JNDI tylko do tych zasobów, które były wyraźnie powiązane z aplikacją. W związku z tym aplikacja webowa mogła uzyskać dostęp do dowolnego globalnego zasobu JNDI, niezależnie od tego, czy skonfigurowano wyraźny ResourceLink.
- CVE-2017-5664Wysokie
Mechanizm stron błędów w specyfikacji Java Servlet wymaga, aby oryginalne żądanie i odpowiedź były przekazywane do strony błędu. W przypadku statycznych plików, oczekiwane zachowanie to obsługa treści pliku jak w przypadku żądania GET, co nie było realizowane w Apache Tomcat w wersjach 9.0.0.M1 do 9.0.0.M20, 8.5.0 do 8.5.14, 8.0.0.RC1 do 8.0.43 oraz 7.0.0 do 7.0.77.
- CVE-2017-5650Wysokie
W Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M18 oraz od 8.5.0 do 8.5.12, obsługa ramki GOAWAY w protokole HTTP/2 nie zamykała strumieni związanych z połączeniem, które czekały na WINDOW_UPDATE, co mogło prowadzić do wyczerpania dostępnych wątków przetwarzania.
- CVE-2017-5647Wysokie
Błąd w obsłudze żądań pipelined w Apache Tomcat powoduje utratę żądania, gdy przetwarzanie pliku send file dla poprzedniego żądania zostanie zakończone. Może to prowadzić do sytuacji, w której odpowiedzi są wysyłane dla niewłaściwych żądań.
Oryginalny opis (angielski, źródło NVD)
The HTTP/2 header parser in Apache Tomcat 9.0.0.M1 to 9.0.0.M11 and 8.5.0 to 8.5.6 entered an infinite loop if a header was received that was larger than the available buffer. This made a denial of service attack possible.