CVE-2019-0199

CVE-2019-0199: fallo en Apache Tomcat

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache Tomcat+ Monitorear tomcat9

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

25Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 73%
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
2 productos
Red Hat Enterprise Linux 8 · Red Hat support for Spring Boot
no_fix_planned: Will not fix
Corregido
5 productos (85 componentes)
Red Hat JBoss Web Server 5.2 for RHEL 6 Server · Red Hat JBoss Web Server 5.2 for RHEL 7 Server · Red Hat JBoss Web Server 5.2 for RHEL 8 · Red Hat JBoss Web Server 5 · Red Hat Runtimes Spring Boot 2.1.12
corrección ↗
No afectado
19 productos (57 componentes) — porque el código vulnerable no está presente en el producto
Red Hat JBoss Enterprise Web Server 2 · Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7 · Red Hat Software Collections · Red Hat JBoss Web Server 3 · y otros 14
The HTTP/2 implementation in Apache Tomcat 9.0.0.M1 to 9.0.14 and 8.5.0 to 8.5.37 accepted streams with excessive numbers of SETTINGS frames and also permitted clients to keep streams open without reading/writing request/response data. By keeping streams open for requests that utilised the Servlet API's blocking I/O, clients were able to cause server-side threads to block eventually leading to thread exhaustion and a DoS.
Productos afectados
n/a · Apache Tomcat