CVE-2021-25122
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
Apache Tomcat w wersjach 10.0.0-M1 do 10.0.0, 9.0.0.M1 do 9.0.41 oraz 8.5.0 do 8.5.61, podczas odpowiadania na nowe żądania połączeń h2c, może duplikować nagłówki żądań i ograniczoną ilość treści żądania z jednego żądania do drugiego, co oznacza, że użytkownik A i użytkownik B mogą widzieć wyniki żądania użytkownika A.
Ocena ryzyka
Może to prowadzić do ujawnienia danych między użytkownikami, naruszając poufność i izolację sesji.
Rekomendacja
Zaktualizuj Apache Tomcat do wersji, która zawiera poprawkę (np. 10.0.1, 9.0.42, 8.5.62 lub nowsze).
Oryginalny opis (angielski, źródło NVD)
When responding to new h2c connection requests, Apache Tomcat versions 10.0.0-M1 to 10.0.0, 9.0.0.M1 to 9.0.41 and 8.5.0 to 8.5.61 could duplicate request headers and a limited amount of request body from one request to another meaning user A and user B could both see the results of user A's request.