CVE-2025-31650highCWE-459

CVE-2025-31650: falha de alta gravidade em Apache Tomcat

Apache Tomcat: DoS via malformed HTTP/2 PRIORITY_UPDATE frame

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Apache Tomcat+ Monitorar tomcat9

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

55Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 7.5epss 61%
da publicação à arma2 dias
Publicada no NVD28 de abr.
1ª PoC+2d
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
2 produtos (22 componentes)
Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7
workaround: Mitigation is either unavailable or does not meet Red Hat Product Security standards for usability, deployment, applicability, or stability.
Corrigido
13 produtos (140 componentes)
Red Hat Enterprise Linux AppStream (v. 10) · Red Hat JBoss Web Server 6.1 for RHEL 8 · Red Hat JBoss Web Server 6.1 for RHEL 9 · Red Hat JBoss Web Server 5.8 for RHEL 7 Server · Red Hat JBoss Web Server 5.8 for RHEL 8 · e outros 8
correção ↗
Não afetado
2 produtos (6 componentes) — porque o código vulnerável não está presente no produto
Red Hat Enterprise Linux 8 · Red Hat Enterprise Linux 9
Improper Input Validation vulnerability in Apache Tomcat. Incorrect error handling for some invalid HTTP priority headers resulted in incomplete clean-up of the failed request which created a memory leak. A large number of such requests could trigger an OutOfMemoryException resulting in a denial of service. This issue affects Apache Tomcat: from 9.0.76 through 9.0.102, from 10.1.10 through 10.1.39, from 11.0.0-M2 through 11.0.5. The following versions were EOL at the time the CVE was created but are known to be affected: 8.5.90 though 8.5.100. Users are recommended to upgrade to version 9.0.104, 10.1.40 or 11.0.6 which fix the issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
Apache Software Foundation · Apache Tomcat
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Apache Tomcat

No mesmo produto, das mais perigosas para as menos.

CVE-2017-12617HIGHCVE-2017-12617EPSS 100.0%KEVCVE-2025-24813CRITICALApache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUTEPSS 99.9%KEVCVE-2017-12615HIGHCVE-2017-12615EPSS 99.7%KEVCVE-2026-34486HIGHApache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptorEPSS 98.5%KEVCVE-2016-8735CRITICALCVE-2016-8735EPSS 90.3%KEVCVE-2018-11784—CVE-2018-11784EPSS 97.7%