Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-01808

Опубликовано: 01 мар. 2021
Источник: fstec
CVSS3: 7
CVSS2: 6.9
EPSS Низкий

Описание

Уязвимость реализации конфигурации сервера приложений Apache Tomcat связана с восстановлением в памяти недостоверных данных, полученных в результате десериализации буфера. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с помощью специально созданного запроса

Вендор

Сообщество свободного программного обеспечения
Red Hat Inc.
ООО «Ред Софт»
Apache Software Foundation
ООО «РусБИТех-Астра»
АО «НТЦ ИТ РОСА»
АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux
Red Hat Enterprise Linux
Red Hat JBoss Fuse
Jboss Web Server
РЕД ОС
OpenShift Application Runtimes
Apache Tomcat
Astra Linux Special Edition
РОСА ХРОМ
ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)
8 (Red Hat Enterprise Linux)
7 (Red Hat JBoss Fuse)
5.0 (Jboss Web Server)
7.2 Муром (РЕД ОС)
- (OpenShift Application Runtimes)
от 10.0.0-M1 до 10.0.0 включительно (Apache Tomcat)
от 9.0.0.M1 до 9.0.41 включительно (Apache Tomcat)
от 8.5.0 до 8.5.61 включительно (Apache Tomcat)
от 7.0.0. до 7.0.107 включительно (Apache Tomcat)
1.7 (Astra Linux Special Edition)
12.4 (РОСА ХРОМ)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Red Hat Inc. Red Hat Enterprise Linux 8
ООО «Ред Софт» РЕД ОС 7.2 Муром
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,9)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Apache Tomcat:
https://lists.apache.org/thread.html/rf6d5d57b114678d8898005faef31e9fd6d7c981fcc4ccfc3bc272fc9@%3Cdev.tomcat.apache.org%3E
https://lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf%40%3Cannounce.tomcat.apache.org%3E
https://lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf@%3Cannounce.apache.org%3E
https://lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf@%3Cannounce.tomcat.apache.org%3E
https://lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf@%3Cdev.tomcat.apache.org%3E
https://lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf@%3Cusers.tomcat.apache.org%3E
Для программных продуктов Red Hat:
https://access.redhat.com/security/cve/cve-2021-25329
Для Debian:
https://lists.debian.org/debian-lts-announce/2021/03/msg00018.html
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
Для операционной системы РОСА ХРОМ: https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2258
Для ОС ОН «Стрелец»:
Обновление программного обеспечения tomcat8 до версии 8.5.54-0+deb9u8

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 89%
0.04622
Низкий

7 High

CVSS3

6.9 Medium

CVSS2

Связанные уязвимости

ubuntu логотип

CVE-2021-25329

CVSS3: 7
ubuntu
больше 4 лет назад

The fix for CVE-2020-9484 was incomplete. When using Apache Tomcat 10.0.0-M1 to 10.0.0, 9.0.0.M1 to 9.0.41, 8.5.0 to 8.5.61 or 7.0.0. to 7.0.107 with a configuration edge case that was highly unlikely to be used, the Tomcat instance was still vulnerable to CVE-2020-9494. Note that both the previously published prerequisites for CVE-2020-9484 and the previously published mitigations for CVE-2020-9484 also apply to this issue.

redhat логотип

CVE-2021-25329

CVSS3: 7
redhat
больше 4 лет назад

The fix for CVE-2020-9484 was incomplete. When using Apache Tomcat 10.0.0-M1 to 10.0.0, 9.0.0.M1 to 9.0.41, 8.5.0 to 8.5.61 or 7.0.0. to 7.0.107 with a configuration edge case that was highly unlikely to be used, the Tomcat instance was still vulnerable to CVE-2020-9494. Note that both the previously published prerequisites for CVE-2020-9484 and the previously published mitigations for CVE-2020-9484 also apply to this issue.

nvd логотип

CVE-2021-25329

CVSS3: 7
nvd
больше 4 лет назад

The fix for CVE-2020-9484 was incomplete. When using Apache Tomcat 10.0.0-M1 to 10.0.0, 9.0.0.M1 to 9.0.41, 8.5.0 to 8.5.61 or 7.0.0. to 7.0.107 with a configuration edge case that was highly unlikely to be used, the Tomcat instance was still vulnerable to CVE-2020-9494. Note that both the previously published prerequisites for CVE-2020-9484 and the previously published mitigations for CVE-2020-9484 also apply to this issue.

debian логотип

CVE-2021-25329

CVSS3: 7
debian
больше 4 лет назад

The fix for CVE-2020-9484 was incomplete. When using Apache Tomcat 10. ...

suse-cvrf логотип

SUSE-SU-2021:1431-1

suse-cvrf
около 4 лет назад

Security update for tomcat

EPSS

Процентиль: 89%
0.04622
Низкий

7 High

CVSS3

6.9 Medium

CVSS2