CERTFR-2020-AVI-112
Vulnerability from certfr_avis

Une vulnérabilité a été découverte dans le connecteur AJP de Apache Tomcat, qui est activé par défaut. Elle permet à un attaquant ayant la capacité de se connecter directement sur le connecteur AJP de Tomcat de provoquer une atteinte à la confidentialité des données.

Dans le cas où l'application propose une fonctionnalité de téléchargement de fichier, un attaquant ayant accès à cette fonctionnalité pourrait déposer du code exécutable JSP (JavaServer Pages) et en déclencher l'exécution via la présente vulnérabilité.

Des premières preuves de concept ont été publiées, elles permettent d'accéder à un fichier arbitraire au sein du répertoire d'exécution de Apache Tomcat.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Notes importantes :

  • Le nouveau paramétrage du connecteur AJP requiert une adaptation de la configuration pour être fonctionnel ;
  • Apache Tomcat 6 n'est plus maintenu par l'éditeur, aucun correctif n'est donc proposé. Il est donc nécessaire de procéder à la mise à jour de Apache Tomcat 6 vers une version supportée.
None
Impacted products
Vendor Product Description
Apache Tomcat Apache Tomcat 6 toutes versions
Apache Tomcat Apache Tomcat 9 versions antérieures à 9.0.31
Apache Tomcat Apache Tomcat 7 versions antérieures à 7.0.100
Apache Tomcat Apache Tomcat 8 versions antérieures à 8.5.51
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Apache Tomcat 6 toutes versions",
      "product": {
        "name": "Tomcat",
        "vendor": {
          "name": "Apache",
          "scada": false
        }
      }
    },
    {
      "description": "Apache Tomcat 9 versions ant\u00e9rieures \u00e0 9.0.31",
      "product": {
        "name": "Tomcat",
        "vendor": {
          "name": "Apache",
          "scada": false
        }
      }
    },
    {
      "description": "Apache Tomcat 7 versions ant\u00e9rieures \u00e0 7.0.100",
      "product": {
        "name": "Tomcat",
        "vendor": {
          "name": "Apache",
          "scada": false
        }
      }
    },
    {
      "description": "Apache Tomcat 8 versions ant\u00e9rieures \u00e0 8.5.51",
      "product": {
        "name": "Tomcat",
        "vendor": {
          "name": "Apache",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n\n**Notes importantes** :\n\n-   Le nouveau param\u00e9trage du connecteur AJP requiert une adaptation de\n    la configuration pour \u00eatre fonctionnel ;\n-   Apache Tomcat 6 n\u0027est plus maintenu par l\u0027\u00e9diteur, aucun correctif\n    n\u0027est donc propos\u00e9. Il est donc n\u00e9cessaire de proc\u00e9der \u00e0 la mise \u00e0\n    jour de Apache Tomcat 6 vers une version support\u00e9e.\n",
  "cves": [
    {
      "name": "CVE-2020-1938",
      "url": "https://www.cve.org/CVERecord?id=CVE-2020-1938"
    }
  ],
  "initial_release_date": "2020-02-24T00:00:00",
  "last_revision_date": "2020-02-24T00:00:00",
  "links": [],
  "reference": "CERTFR-2020-AVI-112",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2020-02-24T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    }
  ],
  "summary": "Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte dans le connecteur AJP de Apache\nTomcat, qui est activ\u00e9 par d\u00e9faut. Elle permet \u00e0 un attaquant ayant la\ncapacit\u00e9 de se connecter directement sur le connecteur AJP de Tomcat de\nprovoquer une atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es.\n\nDans le cas o\u00f9 l\u0027application propose une fonctionnalit\u00e9 de\nt\u00e9l\u00e9chargement de fichier, un attaquant ayant acc\u00e8s \u00e0 cette\nfonctionnalit\u00e9 pourrait d\u00e9poser du code ex\u00e9cutable JSP (*JavaServer\nPages*) et en d\u00e9clencher l\u0027ex\u00e9cution via la pr\u00e9sente vuln\u00e9rabilit\u00e9.\n\nDes premi\u00e8res preuves de concept ont \u00e9t\u00e9 publi\u00e9es, elles permettent\nd\u0027acc\u00e9der \u00e0 un fichier arbitraire au sein du r\u00e9pertoire d\u0027ex\u00e9cution de\nApache Tomcat.\n",
  "title": "Vuln\u00e9rabilit\u00e9 dans Apache Tomcat",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de S\u00e9curit\u00e9 Apache Tomcat 8 du 24 f\u00e9vrier 2020",
      "url": "http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.51"
    },
    {
      "published_at": null,
      "title": "Bulletin de S\u00e9curit\u00e9 Apache Tomcat 7 du 24 f\u00e9vrier 2020",
      "url": "http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.100"
    },
    {
      "published_at": null,
      "title": "Bulletin de S\u00e9curit\u00e9 Apache Tomcat 9 du 24 f\u00e9vrier 2020",
      "url": "http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.31"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.