CVE-2021-25329
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
Poprawka dla CVE-2020-9484 była niekompletna. Podczas korzystania z Apache Tomcat 10.0.0-M1 do 10.0.0, 9.0.0.M1 do 9.0.41, 8.5.0 do 8.5.61 lub 7.0.0 do 7.0.107 z konfiguracją, która była bardzo mało prawdopodobna do użycia, instancja Tomcat była nadal podatna na CVE-2020-9494. Należy zauważyć, że zarówno wcześniej opublikowane wymagania wstępne dla CVE-2020-9484, jak i wcześniej opublikowane środki łagodzące dla CVE-2020-9484 mają również zastosowanie do tego problemu.
Ocena ryzyka
Podatność może umożliwić atakującemu wykorzystanie niekompletnej poprawki, co może prowadzić do nieautoryzowanego dostępu lub innych zagrożeń.
Rekomendacja
Zaktualizuj Apache Tomcat do wersji zawierającej pełną poprawkę dla CVE-2020-9484 i CVE-2020-9494 oraz zastosuj zalecane środki łagodzące.
Oryginalny opis (angielski, źródło NVD)
The fix for CVE-2020-9484 was incomplete. When using Apache Tomcat 10.0.0-M1 to 10.0.0, 9.0.0.M1 to 9.0.41, 8.5.0 to 8.5.61 or 7.0.0. to 7.0.107 with a configuration edge case that was highly unlikely to be used, the Tomcat instance was still vulnerable to CVE-2020-9494. Note that both the previously published prerequisites for CVE-2020-9484 and the previously published mitigations for CVE-2020-9484 also apply to this issue.