PT-2025-54828
CVE-2025-66614
·
تاريخ النشر
2025-01-01
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Apache Tomcat من 11.0.0-M1 إلى 11.0.14
إصدارات Apache Tomcat من 10.1.0-M1 إلى 10.1.49
إصدارات Apache Tomcat من 9.0.0-M1 إلى 9.0.112
إصدارات Apache Tomcat من 8.5.0 إلى 8.5.100
الوصف
لم يقم Tomcat بالتحقق بشكل صحيح من اسم المضيف المقدم عبر ملحق Server Name Indication (SNI) مقارنةً باسم المضيف الموجود في حقل رأس HTTP host. تظهر هذه المشكلة عندما يكون Tomcat مُهيأً مع مضيفات افتراضية متعددة، حيث تختلف إعدادات TLS – على وجه التحديد، عندما يتطلب أحد المضيفين مصادقة شهادة العميل بينما لا يتطلبها مضيف آخر. يمكن للعميل نظريًّا التحايل على مصادقة شهادة العميل عن طريق إرسال أسماء مضيفين غير متطابقة في ملحق SNI وفي رأس HTTP host. هذه المشكلة ذات صلة فقط عندما تُفرض مصادقة شهادة العميل حصريًّا على مستوى الموصل (Connector)، ولا تنطبق إذا فُرضت داخل تطبيق الويب.
التوصيات
إصدارات Apache Tomcat من 11.0.0-M1 إلى 11.0.14: قم بالتحديث إلى الإصدار 11.0.15 أو أحدث.
إصدارات Apache Tomcat من 10.1.0-M1 إلى 10.1.49: قم بالتحديث إلى الإصدار 10.1.50 أو أحدث.
إصدارات Apache Tomcat من 9.0.0-M1 إلى 9.0.112: قم بالتحديث إلى الإصدار 9.0.113 أو أحدث.
إصدارات Apache Tomcat من 8.5.0 إلى 8.5.100: قم بالتحديث إلى إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾