EncryptInterceptor does not provide complete protection on insecure networks
45Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendepss 73%
da publicação à arma49 dias
Publicada no NVD12 de mai.
1ª PoC+49d
probabilidade de exploração
73%top 1% das CVEs
exploração observada
nãonenhuma fonte reporta
4 exploit(s) público(s)
O que os fabricantes declaram (VEX)
Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.
Red Hatdocumento VEX ↗
Afetado
16 produtos (41 componentes)
Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 8 · Red Hat Enterprise Linux 9 · Red Hat OpenStack Platform 13 (Queens) · e outros 11
workaround: For customers who use clustering on an untrusted network and require full protection, an alternate solution is recommended such as using a VPN.
Não afetado
1 produto — porque o código vulnerável não está presente no produto
Red Hat JBoss Web Server 6
The documentation of Apache Tomcat 10.1.0-M1 to 10.1.0-M14, 10.0.0-M1 to 10.0.20, 9.0.13 to 9.0.62 and 8.5.38 to 8.5.78 for the EncryptInterceptor incorrectly stated it enabled Tomcat clustering to run over an untrusted network. This was not correct. While the EncryptInterceptor does provide confidentiality and integrity protection, it does not protect against all risks associated with running over any untrusted network, particularly DoS risks.
Produtos afetados
Apache Software Foundation · Apache TomcatPoCs públicas encontradas — 4
exploitdbwww.exploit-db.com/exploits/51262não verificadogithubgithub.com/quynhlab/CVE-2022-29885★ 5githubgithub.com/iveresk/CVE-2022-29885★ 4cve_referencepacketstormsecurity.com/files/171728/Apache-Tomcat-10.1-Denial-Of-Service.htmlnão verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Referências
http://packetstormsecurity.com/files/171728/Apache-Tomcat-10.1-Denial-Of-Service.htmlhttps://lists.apache.org/thread/2b4qmhbcyqvc7dyfpjyx54c03x65vhcvhttps://lists.debian.org/debian-lts-announce/2022/10/msg00029.htmlhttps://security.netapp.com/advisory/ntap-20220629-0002/https://www.debian.org/security/2022/dsa-5265https://www.oracle.com/security-alerts/cpujul2022.html