CVE-2025-55754
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
Apache Tomcat nie escapował sekwencji ANSI w komunikatach logów. Gdy Tomcat działał w konsoli systemu Windows obsługującej sekwencje ANSI, atakujący mógł za pomocą specjalnie spreparowanego URL wstrzyknąć sekwencje ANSI, manipulować konsolą i schowkiem oraz nakłonić administratora do uruchomienia polecenia kontrolowanego przez atakującego.
Ocena ryzyka
Atakujący może manipulować konsolą i schowkiem administratora oraz doprowadzić do wykonania złośliwego polecenia w kontekście uprawnień administratora. Podatność dotyczy Tomcat w wersjach 11.0.0-M1–11.0.10, 10.1.0-M1–10.1.44, 9.0.40–9.0.108 oraz EOL 8.5.60–8.5.100.
Rekomendacja
Zaktualizuj Apache Tomcat do wersji 11.0.11 lub nowszej, 10.1.45 lub nowszej albo 9.0.109 lub nowszej, które naprawiają tę podatność.
Inne podatności w Apache Tomcat
Zobacz wszystkie- CVE-2025-48989Wysokie
Podatność w Apache Tomcat związana z niewłaściwym zamykaniem lub zwalnianiem zasobów umożliwia atak typu 'made you reset'. Dotyczy to wersji od 11.0.0-M1 do 11.0.9, od 10.1.0-M1 do 10.1.43 oraz od 9.0.0.M1 do 9.0.107.
- CVE-2017-7675Wysokie
Implementacja HTTP/2 w Apache Tomcat od wersji 9.0.0.M1 do 9.0.0.M21 oraz od 8.5.0 do 8.5.15 omijała szereg zabezpieczeń, które zapobiegały atakom typu directory traversal. Możliwe było obejście ograniczeń bezpieczeństwa przy użyciu specjalnie skonstruowanego URL.
- CVE-2016-6817Wysokie
Parser nagłówków HTTP/2 w Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M11 oraz od 8.5.0 do 8.5.6 wchodził w nieskończoną pętlę, gdy otrzymał nagłówek większy niż dostępny bufor. To umożliwiało przeprowadzenie ataku typu denial of service.
- CVE-2017-5650Wysokie
W Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M18 oraz od 8.5.0 do 8.5.12, obsługa ramki GOAWAY w protokole HTTP/2 nie zamykała strumieni związanych z połączeniem, które czekały na WINDOW_UPDATE, co mogło prowadzić do wyczerpania dostępnych wątków przetwarzania.
- CVE-2016-6816Wysokie
Kod w Apache Tomcat w wersjach od 6.0.0 do 9.0.0.M11 pozwalał na parsowanie linii żądania HTTP z nieprawidłowymi znakami. Może to być wykorzystane w połączeniu z proxy, które również akceptuje te znaki, do wstrzykiwania danych do odpowiedzi HTTP.
- CVE-2017-6056Wysokie
Odkryto błąd programistyczny w przetwarzaniu żądań HTTPS w silniku serwletów i JSP Apache Tomcat, który może prowadzić do odmowy usługi z powodu nieskończonej pętli. Problem ten wynika z niepoprawnego przeniesienia poprawki CVE-2016-6816 bez uwzględnienia poprawki dla błędu Tomcat 57544.
- CVE-2026-103119Krytyczne
Podatność polegająca na niedoczytaniu bufora w Apache Tomcat powoduje, że duży zapis nieblokujący może spowodować podział treści odpowiedzi między bieżące żądanie a następne żądanie odebrane na tym samym połączeniu, co najprawdopodobniej prowadzi do błędu drugiego żądania i możliwego wycieku danych z pierwszej odpowiedzi do drugiej.
- CVE-2026-101356Krytyczne
Nieprawidłowe recykling i ponowne użycie obiektów w Apache Tomcat wpływa na przetwarzanie asynchronicznych servletów HTTP/2 i może powodować mieszanie żądań i/lub odpowiedzi między użytkownikami. Dotyczy wersji 11.0.22 do 11.0.26, 10.1.55 do 10.1.60 oraz 9.0.118 do 9.0.122.
- CVE-2026-101296Krytyczne
Brak krytycznego kroku uwierzytelniania w Apache Tomcat, gdy realm JNDI był skonfigurowany z mechanizmem SASL innym niż GSSAPI, pozwalał atakującym na uwierzytelnienie bez podania prawidłowego hasła. Dotyczy wersji 11.0.0-M1 do 11.0.26, 10.1.0-M1 do 10.1.60 oraz 9.0.0.M1 do 9.0.122; znane są również wersje EOL 8.5.0-8.5.100 i 7.0.0-7.0.109.
- CVE-2026-86350Krytyczne
Podatność polegająca na niespójnej interpretacji żądań HTTP/2 (przemyt żądań HTTP) w Apache Tomcat, spowodowana regresją w poprawce dla CVE-2026-41293, może prowadzić do pomieszania nagłówków żądań. Problem dotyczy Apache Tomcat od 11.0.22 do 11.0.25, od 10.1.55 do 10.1.59 oraz od 9.0.118 do 9.0.121. Zaleca się aktualizację do wersji 11.0.26, 10.1.60 lub 9.0.122.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in Apache Tomcat. Tomcat did not escape ANSI escape sequences in log messages. If Tomcat was running in a console on a Windows operating system, and the console supported ANSI escape sequences, it was possible for an attacker to use a specially crafted URL to inject ANSI escape sequences to manipulate the console and the clipboard and attempt to trick an administrator into running an attacker controlled command. While no attack vector was found, it may have been possible to mount this attack on other operating systems. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.10, from 10.1.0-M1 through 10.1.44, from 9.0.40 through 9.0.108. The following versions were EOL at the time the CVE was created but are known to be affected: 8.5.60 though 8.5.100. Other, older, EOL versions may also be affected. Users are recommended to upgrade to version 11.0.11 or later, 10.1.45 or later or 9.0.109 or later, which fix the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS