Se ha reportado un nuevo aviso de seguridad sobre una vulnerabilidad que afecta a Apache Tomcat, que permitiría a un atacante remoto obtener información de las conexiones de los clientes a través de la instancia de Http11Processor.
La vulnerabilidad identificada como CVE-2021-43980, de severidad “alta”, sin una puntuación asignada aún. Esta vulnerabilidad se debe falla en el componente Client Connection Handler. Esto permitiría a un atacante remoto obtener información de las conexiones de los clientes a través de la instancia de Http11Processor.
Las versiones afectadas son:
- Apache Tomcat, versiones 10.1.0-M1 al 10.1.0-M12.
- Apache Tomcat, versiones 10.0.0-M1 al 10.0.18.
- Apache Tomcat, versiones 9.0.0-M1 al 9.0.60.
- Apache Tomcat, versiones 8.5.0 al 8.5.77.
Recomendamos acceder a las actualizaciones correspondientes provistas por el fabricante en el siguiente enlace:
Referencias:
- https://securityonline.info/cve-2021-43980-apache-tomcat-information-disclosure-vulnerability/
- https://www.openwall.com/lists/oss-security/2022/09/28/1
- https://lists.apache.org/thread/3jjqbsp6j88b198x5rmg99b1qr8ht3g3
- https://nvd.nist.gov/vuln/detail/CVE-2021-43980
- https://tomcat.apache.org/download-10.cgi