Podatności Apache Tomcat

Podatność w Apache Tomcat polegająca na niekontrolowanym zużyciu zasobów podczas wysyłania komunikatu zamknięcia WebSocket umożliwia atak DoS. Dotyczy wersji 11.0.0-M5-11.0.25, 10.1.8-10.1.59 oraz 9.0.74-9.0.121.

Podatność w Apache Tomcat polegająca na wyścigu (race condition) umożliwia atakującemu wstrzyknięcie pól trailer do innego żądania HTTP/2. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.39-9.0.121.

Podatność na niezgodną interpretację żądań HTTP (przemyt żądań/odpowiedzi HTTP) w Apache Tomcat, spowodowana przetwarzaniem nagłówka transfer-encoding dla żądania HTTP/1.0, może pozwolić atakującemu na spowodowanie niepowodzenia jednego żądania innego użytkownika, gdy Tomcat znajduje się za odwrotnym proxy. Dotyczy wersji: od 11.0.0-M1 do 11.0.25, od 10.1.0-M1 do 10.1.59, od 9.0.47 do 9.0.121. Znane są również dotknięte wersje 8.5.67 do 8.5.100 (EOL). Zalecana aktualizacja do 11.0.26, 10.1.60 lub 9.0.122.

Podatność w Apache Tomcat związana z nieprawidłowym uwierzytelnianiem. Gdy Jakarta Authentication jest skonfigurowane z SimpleAuthConfigProvider jako domyślnym dostawcą i wiele aplikacji webowych używa tego dostawcy, realm pierwszej aplikacji, która uwierzytelni żądanie, będzie używany dla wszystkich aplikacji. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.0.M4-9.0.121.

Apache Tomcat ma podatność polegającą na nieprawidłowym sprawdzaniu odwołania certyfikatów (CRL). Implementacje TLS OpenSSL i OpenSSL-FFM ignorują listy odwołań, gdy certyfikat używa magazynu kluczy. Dotyczy to wersji 11.0.0-M1 do 11.0.25, 10.1.0-M1 do 10.1.58, 9.0.0-M1 do 9.0.121, oraz 8.5.0 do 8.5.100.

Niewystarczające wygasanie sesji w Apache Tomcat: jeśli identyfikator sesji uwierzytelnionej sesji HTTP został zmieniony po ustanowieniu połączenia WebSocket w ramach tej sesji, sesja WebSocket nie została zamknięta po zakończeniu sesji HTTP, co narusza specyfikację Jakarta WebSocket.

Nieograniczona konsumpcja zasobów w Apache Tomcat przez wyciek alokacji w śledzeniu backlogu HTTP/2, gdy strumień jest resetowany.

Niewłaściwe uwierzytelnianie w Apache Tomcat: w niektórych okolicznościach (np. CLIENT-CERT, SPNEGO) użytkownik był uwierzytelniany, nawet jeśli nie istniał w DataSourceRealm.

Niewłaściwa autoryzacja w Apache Tomcat spowodowana nieprawidłowym użyciem definicji security-role-ref jako aliasów ról w Realm, oprócz poprawnego użycia z Request.isUserInRole().

Błąd off-by-one w Apache Tomcat wpływający na flagę [N] w zaworach przepisywania powoduje, że przetwarzanie przepisywania rozpoczyna się od drugiej reguły zamiast od pierwszej.

Podatność typu TOCTOU (Time-of-check Time-of-use) w Apache Tomcat podczas tworzenia gniazd domeny unix, umożliwiająca nieautoryzowanemu lokalnemu użytkownikowi dostęp do gniazda. Dotyczy wersji od 11.0.0-M1 do 11.0.24, od 10.1.0-M1 do 10.1.57 oraz od 9.0.42 do 9.0.120.

W Apache Tomcat w przykładowej aplikacji WebSocket występuje podatność na niekontrolowane zużycie zasobów. Problem dotyczy wersji 11.0.0-M20 do 11.0.24, 10.1.24 do 10.1.57 oraz 9.0.89 do 9.0.120.

W Apache Tomcat wykryto brak krytycznego kroku uwierzytelniania w JNDIRealm podczas korzystania z GSSAPI. Atakujący może uwierzytelnić się bez podania poprawnego hasła.

Podatność nieprawidłowej autoryzacji w Apache Tomcat powoduje, że ograniczenia bezpieczeństwa dla domyślnego serwletu ignorują skonfigurowane metody HTTP lub ich pominięcie. Problem dotyczy wielu wersji Tomcat od 7.0.0 do 11.0.22.

Podatność w Apache Tomcat umożliwia atak typu replay na komponent EncryptionInterceptor w klastrze. Luka wynika z nieprawidłowego uwierzytelniania, co pozwala atakującemu na ponowne wykorzystanie przechwyconych danych.

W Apache Tomcat w mechanizmie rewrite valve wykryto podatność polegającą na nieprawidłowej implementacji przepływu sterowania. Powoduje ona, że gdy pierwszy warunek w łańcuchu OR jest spełniony, pomijane są kolejne warunki niebędące częścią OR.

W przykładowej aplikacji do zgadywania liczb w Apache Tomcat wykryto podatność na podstawowy atak XSS (Cross-Site Scripting). Brak odpowiedniej neutralizacji znaczników HTML związanych ze skryptami umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript.

W Apache Tomcat wystąpiła regresja w poprawce dla błędu 66512, która powoduje, że w przypadku braku nagłówków HTTP w odpowiedzi, nie zostanie wysłana wiadomość AJP SEND_HEADERS. To prowadzi do wykorzystania nagłówków odpowiedzi z poprzedniego żądania przez co najmniej jeden proxy AJP (mod_proxy_ajp), co skutkuje wyciekiem informacji.