BDU:2021-00783

Опубликовано: 14 июл. 2020

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Средний

Описание

Уязвимость сервера приложений Apache Tomcat связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

Oracle Corp.

Red Hat Inc.

Novell Inc.

Canonical Ltd.

Cisco Systems Inc.

Apache Software Foundation

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Managed File Transfer

Oracle Retail Order Broker

Instantis EnterpriseTrack

Agile Engineering Data Management

Red Hat Enterprise Linux

OpenSUSE Leap

Database Server

Jboss Fuse

OpenShift Application Runtimes

Jboss Web Server

Ubuntu

Oracle Agile PLM

Hyperion Infrastructure Technology

Siebel UI Framework

MySQL Enterprise Monitor

Apache Tomcat

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

12.2.1.3.0 (Managed File Transfer)

15.0 (Oracle Retail Order Broker)

17.1 (Instantis EnterpriseTrack)

17.2 (Instantis EnterpriseTrack)

17.3 (Instantis EnterpriseTrack)

6.2.1 (Agile Engineering Data Management)

8 (Red Hat Enterprise Linux)

15.1 (OpenSUSE Leap)

12.2.0.1 (Database Server)

18c (Database Server)

19c (Database Server)

7 (Jboss Fuse)

10 (Debian GNU/Linux)

1.0 (OpenShift Application Runtimes)

5.3 on RHEL 6 (Jboss Web Server)

5.3 on RHEL 7 (Jboss Web Server)

5.3 on RHEL 8 (Jboss Web Server)

(JWS) 5.3 (Jboss Web Server)

12.2.1.4.0 (Managed File Transfer)

20.04 LTS (Ubuntu)

9.3.3 (Oracle Agile PLM)

9.3.5 (Oracle Agile PLM)

9.3.6 (Oracle Agile PLM)

15.2 (OpenSUSE Leap)

11.1.2.4 (Hyperion Infrastructure Technology)

до 20.12 включительно (Siebel UI Framework)

до 8.0.21 включительно (MySQL Enterprise Monitor)

от 9.0.0.M5 до 9.0.36 включительно (Apache Tomcat)

от 8.5.1 до 8.5.56 включительно (Apache Tomcat)

от 10.0.0-M1 до 10.0.0-M6 включительно (Apache Tomcat)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

СУБД

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Red Hat Inc. Red Hat Enterprise Linux 8

Novell Inc. OpenSUSE Leap 15.1

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Canonical Ltd. Ubuntu 20.04 LTS

Novell Inc. OpenSUSE Leap 15.2

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache Tomcat:

https://lists.apache.org/thread.html/r61f411cf82488d6ec213063fc15feeeb88e31b0ca9c29652ee4f962e%40%3Cannounce.tomcat.apache.org%3E

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpujan2021.html

https://www.oracle.com/security-alerts/cpuoct2020.html

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2020-13934

Для продуктов Novell Inc.:

http://lists.opensuse.org/opensuse-security-announce/2020-07/msg00084.html

http://lists.opensuse.org/opensuse-security-announce/2020-07/msg00088.html

Для Debian:

https://lists.debian.org/debian-lts-announce/2020/07/msg00017.html

https://www.debian.org/security/2020/dsa-4727

Для Ubuntu:

https://usn.ubuntu.com/4596-1/

Для ОС ОН «Стрелец»:

Обновление программного обеспечения tomcat8 до версии 8.5.54-0+deb9u8

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-13934
CVE

EPSS

Процентиль: 96%

0.22718

Средний

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2020-13934

CVSS3: 7.5

ubuntu

почти 5 лет назад

An h2c direct connection to Apache Tomcat 10.0.0-M1 to 10.0.0-M6, 9.0.0.M5 to 9.0.36 and 8.5.1 to 8.5.56 did not release the HTTP/1.1 processor after the upgrade to HTTP/2. If a sufficient number of such requests were made, an OutOfMemoryException could occur leading to a denial of service.

CVE-2020-13934

CVSS3: 7.5

redhat

почти 5 лет назад

CVE-2020-13934

CVSS3: 7.5

nvd

почти 5 лет назад

CVE-2020-13934

CVSS3: 7.5

debian

почти 5 лет назад

An h2c direct connection to Apache Tomcat 10.0.0-M1 to 10.0.0-M6, 9.0. ...

GHSA-vf77-8h7g-gghp

CVSS3: 7.5

github

больше 3 лет назад

Improper Restriction of Operations within the Bounds of a Memory Buffer in Apache Tomcat

EPSS

Процентиль: 96%

0.22718

Средний

7.5 High

CVSS3

7.8 High

CVSS2