CVE-2021-33037
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Apache Tomcat w wersjach 10.0.0-M1 do 10.0.6, 9.0.0.M1 do 9.0.46 i 8.5.0 do 8.5.66 niepoprawnie parsował nagłówek transfer-encoding w niektórych sytuacjach, co umożliwia przemycanie żądań (request smuggling) w połączeniu z odwrotnym proxy. Tomcat ignorował nagłówek transfer-encoding, gdy klient deklarował akceptację tylko odpowiedzi HTTP/1.0, honorował kodowanie identity i nie zapewniał, że chunked encoding jest ostatnim kodowaniem.
Ocena ryzyka
Ryzyko polega na możliwości przechwycenia i manipulacji żądaniami HTTP przez atakującego, co może prowadzić do obejścia zabezpieczeń, kradzieży danych lub ataków na innych użytkowników.
Rekomendacja
Zaleca się aktualizację Apache Tomcat do wersji, która zawiera poprawkę. Należy również skonfigurować odwrotne proxy w sposób bezpieczny, aby uniknąć problemów z nagłówkami transfer-encoding.
Oryginalny opis (angielski, źródło NVD)
Apache Tomcat 10.0.0-M1 to 10.0.6, 9.0.0.M1 to 9.0.46 and 8.5.0 to 8.5.66 did not correctly parse the HTTP transfer-encoding request header in some circumstances leading to the possibility to request smuggling when used with a reverse proxy. Specifically: - Tomcat incorrectly ignored the transfer encoding header if the client declared it would only accept an HTTP/1.0 response; - Tomcat honoured the identify encoding; and - Tomcat did not ensure that, if present, the chunked encoding was the final encoding.