CVE-2019-10072

CVE-2019-10072: fallo en Apache Tomcat

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache Tomcat+ Monitorear tomcat9

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

25Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 73%
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
3 productos
Red Hat BPM Suite 6 · Red Hat Enterprise Linux 8 · Red Hat JBoss BRMS 6
workaround: pki-servlet-container does not use HTTP/2 in its default configuration.
Corregido
4 productos (84 componentes)
Red Hat JBoss Web Server 5.2 for RHEL 6 Server · Red Hat JBoss Web Server 5.2 for RHEL 7 Server · Red Hat JBoss Web Server 5.2 for RHEL 8 · Red Hat JBoss Web Server 5
corrección ↗
No afectado
5 productos (15 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 6 · Red Hat Fuse 7 · Red Hat JBoss Data Grid 7 · Red Hat JBoss Fuse 6
The fix for CVE-2019-0199 was incomplete and did not address HTTP/2 connection window exhaustion on write in Apache Tomcat versions 9.0.0.M1 to 9.0.19 and 8.5.0 to 8.5.40 . By not sending WINDOW_UPDATE messages for the connection window (stream 0) clients were able to cause server-side threads to block eventually leading to thread exhaustion and a DoS.
Productos afectados
n/a · Apache Tomcat