2020-0381: Apache Tomcat: Mehrere Schwachstellen ermöglichen u. a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2020-02-24 17:56)

Neues Advisory

Version 2 (2020-03-05 09:55)

Debian veröffentlicht für Debian 8 Jessie (LTS) ein Sicherheitsupdate für Tomcat 7 auf die Version 7.0.56-3+really7.0.100-1, um die aufgeführten Schwachstellen mittels Backports zu beheben.

Version 3 (2020-03-06 11:03)

SUSE veröffentlicht für die SUSE Linux Enterprise Produkte Server for SAP 15, Server 15 LTSS, High Performance Computing 15 LTSS und 15 ESPOS Sicherheitsupdates auf die Tomcat Version 9.0.31. Für Fedora EPEL 6 steht ein Sicherheitsupdate auf die Tomcat Version 7.0.100 in Form des Paketes 'tomcat-7.0.100-1.el6 ' im Status 'testing' zur Verfügung.

Version 4 (2020-03-09 09:26)

Für Fedora 30 und 31 stehen Sicherheitsupdates auf die Tomcat Version 9.0.31 in Form von 'tomcat-9.0.31-1'-Paketen im Status 'testing' bereit.

Version 5 (2020-03-11 11:01)

Für die SUSE Linux Enterprise Module for Open Buildservice Development Tools und Web Scripting jeweils in der Version 15 SP1 stehen Sicherheitsupdates auf die Tomcat Version 9.0.31 zur Behebung der Schwachstellen zur Verfügung.

Version 6 (2020-03-13 12:23)

Für die Distributionen Fedora 30 und 31 stehen unter den bereits publizierten Referenzen aktualisierte Sicherheitsupdates in Form von 'tomcat-9.0.31-2'-Paketen im Status 'pending' zur Verfügung. Beide Meldungen, wie auch die für Fedora EPEL 6 (FEDORA-EPEL-2020-81c37f8ff5) veröffentlichte, werden um einen Warnhinweis ergänzt. Dieser besagt, dass durch die Sicherheitsupdates keine Änderungen der Default-Einstellungen für den AJP Connector erzwungen werden, um aktuelle Installationen nicht zu zerstören. Aber es wird dringend empfohlen die AJP Connector Konfigurationen zu überprüfen, um sicherzustellen, dass diese lediglich über den eigenen Proxy zugreifbar sind.

Version 7 (2020-03-16 10:16)

Für openSUSE Leap 15.1 steht ein Sicherheitsupdate bereit, mit dem 'tomcat' auf Version 9.0.31 aktualisiert wird.

Version 8 (2020-05-04 15:06)

Für Debian 9 Stretch (oldstable) stehen Sicherheitsupdates für 'tomcat8' zur Behebung der Schwachstellen zur Verfügung.

Betroffene Software

Server

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Mehrere Schwachstellen in Apache Tomcat ermöglichen einem entfernten Angreifer die Ausführung beliebigen Programmcodes, das Ausspähen von Informationen und die Durchführung von HTTP-Request-Smuggling-Angriffen. Die erfolgreiche Durchführung der letztgenannten Angriffe erfordert eine Benutzerinteraktion.

Der Hersteller informiert über die Schwachstellen und stellt Apache Tomcat Version 7.0.100, 8.5.51 und 9.0.31 zur Behebung der Schwachstellen bereit.

Schwachstellen:

CVE-2019-17569

Schwachstelle in Apache Tomcat ermöglicht HTTP-Request-Smuggling-Angriff

CVE-2020-1935

Schwachstelle in Apache Tomcat ermöglicht HTTP-Request-Smuggling-Angriff

CVE-2020-1938

Schwachstelle in Apache Tomcat ermöglicht u. a. Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.