Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2019/04/11

Garrantzia: Handia

Kaltetutako baliabideak:

• Apache Tomcat Windows plataforman, honako bertsioak: 
• • 7.0.0tik 7.0.93ra bitartekoak
  • 8.5.0tik 8.5.39ra bitartekoak
  • 9.0.0.M1etik 9.0.17ra bitartekoak

Azalpena:

Ahultasun hau kanpoko segurtasun ikertzaile batek aurkitu zuen. Ondoren, EU FOSSA-2 proiektuak babesten duen bug bounty programaren bidez izan zen informatua Apache Tomcat-en segurtasun ekipoa 2019ko martxoaren 3an, eta 2019ko apirilaren 10ean argitaratu zen.

Konponbidea:

• 7.0.94 edo goragoko bertsiora eguneratzea.
• 8.5.40 edo goragoko bertsiora eguneratzea.
• 9.0.18 edo goragoko bertsiora eguneratzea.

Xehetasuna:

• Servlet CGI ahula da kodearen urruneko exekuzioaren (RCE) aurrean Windowsen exekutatzen denean enableCmdLineArguments gaituta dagoela. Horren arrazoia da JREk akats bat duela komandoen lerroko argumentuak Windowsera pasatzeko moduan. Servlet CGI desgaituta dago modu lehenetsian. CGIren enableCmdLineArguments aukera desgaituta dago modu lehenetsian Tomcat 9.0.x-en. Ahultasun horretarako CVE-2019-0232 identifikatzailea erabili da.

Etiketak: Eguneraketa, Apache, Ahultasuna