CVE-2022-29885CWE-400

CVE-2022-29885: falha em Apache Tomcat

EncryptInterceptor does not provide complete protection on insecure networks

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Apache Tomcat+ Monitorar org.apache.tomcat:tomcat

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

45Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendepss 73%
da publicação à arma49 dias
Publicada no NVD12 de mai.
1ª PoC+49d
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
16 produtos (41 componentes)
Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 8 · Red Hat Enterprise Linux 9 · Red Hat OpenStack Platform 13 (Queens) · e outros 11
workaround: For customers who use clustering on an untrusted network and require full protection, an alternate solution is recommended such as using a VPN.
Não afetado
1 produto — porque o código vulnerável não está presente no produto
Red Hat JBoss Web Server 6
The documentation of Apache Tomcat 10.1.0-M1 to 10.1.0-M14, 10.0.0-M1 to 10.0.20, 9.0.13 to 9.0.62 and 8.5.38 to 8.5.78 for the EncryptInterceptor incorrectly stated it enabled Tomcat clustering to run over an untrusted network. This was not correct. While the EncryptInterceptor does provide confidentiality and integrity protection, it does not protect against all risks associated with running over any untrusted network, particularly DoS risks.
Produtos afetados
Apache Software Foundation · Apache Tomcat
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Apache Tomcat

No mesmo produto, das mais perigosas para as menos.

CVE-2017-12617HIGHCVE-2017-12617EPSS 100.0%KEVCVE-2025-24813CRITICALApache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUTEPSS 99.9%KEVCVE-2017-12615HIGHCVE-2017-12615EPSS 99.7%KEVCVE-2026-34486HIGHApache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptorEPSS 98.5%KEVCVE-2016-8735CRITICALCVE-2016-8735EPSS 90.3%KEVCVE-2018-11784—CVE-2018-11784EPSS 97.7%