CVE-2019-10072

CVE-2019-10072: falha em Apache Tomcat

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Apache Tomcat+ Monitorar tomcat9

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

25Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 73%
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
3 produtos
Red Hat BPM Suite 6 · Red Hat Enterprise Linux 8 · Red Hat JBoss BRMS 6
workaround: pki-servlet-container does not use HTTP/2 in its default configuration.
Corrigido
4 produtos (84 componentes)
Red Hat JBoss Web Server 5.2 for RHEL 6 Server · Red Hat JBoss Web Server 5.2 for RHEL 7 Server · Red Hat JBoss Web Server 5.2 for RHEL 8 · Red Hat JBoss Web Server 5
correção ↗
Não afetado
5 produtos (15 componentes) — porque o código vulnerável não está presente no produto
Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 6 · Red Hat Fuse 7 · Red Hat JBoss Data Grid 7 · Red Hat JBoss Fuse 6
The fix for CVE-2019-0199 was incomplete and did not address HTTP/2 connection window exhaustion on write in Apache Tomcat versions 9.0.0.M1 to 9.0.19 and 8.5.0 to 8.5.40 . By not sending WINDOW_UPDATE messages for the connection window (stream 0) clients were able to cause server-side threads to block eventually leading to thread exhaustion and a DoS.
Produtos afetados
n/a · Apache Tomcat