CVE-2017-6056

Podatność w Apache Tomcat związana z niewłaściwym zamykaniem lub zwalnianiem zasobów umożliwia atak typu 'made you reset'. Dotyczy to wersji od 11.0.0-M1 do 11.0.9, od 10.1.0-M1 do 10.1.43 oraz od 9.0.0.M1 do 9.0.107.

Implementacja HTTP/2 w Apache Tomcat od wersji 9.0.0.M1 do 9.0.0.M21 oraz od 8.5.0 do 8.5.15 omijała szereg zabezpieczeń, które zapobiegały atakom typu directory traversal. Możliwe było obejście ograniczeń bezpieczeństwa przy użyciu specjalnie skonstruowanego URL.

Parser nagłówków HTTP/2 w Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M11 oraz od 8.5.0 do 8.5.6 wchodził w nieskończoną pętlę, gdy otrzymał nagłówek większy niż dostępny bufor. To umożliwiało przeprowadzenie ataku typu denial of service.

W Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M18 oraz od 8.5.0 do 8.5.12, obsługa ramki GOAWAY w protokole HTTP/2 nie zamykała strumieni związanych z połączeniem, które czekały na WINDOW_UPDATE, co mogło prowadzić do wyczerpania dostępnych wątków przetwarzania.

Kod w Apache Tomcat w wersjach od 6.0.0 do 9.0.0.M11 pozwalał na parsowanie linii żądania HTTP z nieprawidłowymi znakami. Może to być wykorzystane w połączeniu z proxy, które również akceptuje te znaki, do wstrzykiwania danych do odpowiedzi HTTP.

Podatność polegająca na niedoczytaniu bufora w Apache Tomcat powoduje, że duży zapis nieblokujący może spowodować podział treści odpowiedzi między bieżące żądanie a następne żądanie odebrane na tym samym połączeniu, co najprawdopodobniej prowadzi do błędu drugiego żądania i możliwego wycieku danych z pierwszej odpowiedzi do drugiej.

Nieprawidłowe recykling i ponowne użycie obiektów w Apache Tomcat wpływa na przetwarzanie asynchronicznych servletów HTTP/2 i może powodować mieszanie żądań i/lub odpowiedzi między użytkownikami. Dotyczy wersji 11.0.22 do 11.0.26, 10.1.55 do 10.1.60 oraz 9.0.118 do 9.0.122.

Brak krytycznego kroku uwierzytelniania w Apache Tomcat, gdy realm JNDI był skonfigurowany z mechanizmem SASL innym niż GSSAPI, pozwalał atakującym na uwierzytelnienie bez podania prawidłowego hasła. Dotyczy wersji 11.0.0-M1 do 11.0.26, 10.1.0-M1 do 10.1.60 oraz 9.0.0.M1 do 9.0.122; znane są również wersje EOL 8.5.0-8.5.100 i 7.0.0-7.0.109.

Podatność polegająca na niespójnej interpretacji żądań HTTP/2 (przemyt żądań HTTP) w Apache Tomcat, spowodowana regresją w poprawce dla CVE-2026-41293, może prowadzić do pomieszania nagłówków żądań. Problem dotyczy Apache Tomcat od 11.0.22 do 11.0.25, od 10.1.55 do 10.1.59 oraz od 9.0.118 do 9.0.121. Zaleca się aktualizację do wersji 11.0.26, 10.1.60 lub 9.0.122.

Podatność w Apache Tomcat, gdzie uwierzytelnianie CLIENT_CERT nie zawodzi zgodnie z oczekiwaniami w niektórych scenariuszach, gdy wyłączony jest tryb miękkiego błędu. Problem dotyczy Apache Tomcat od 11.0.0-M14 do 11.0.25, od 10.1.22 do 10.1.59 oraz od 9.0.92 do 9.0.121. Zaleca się aktualizację do wersji 11.0.26, 10.1.60 lub 9.0.122.