Mark Thomas

**Nome do Software Vulnerável e Versões Afetadas** Apache Tomcat versões 11.0.0-M1 through 11.0.22 Apache Tomcat versões 10.1.0-M1 through 10.1.55 Apache Tomcat versões 9.0.13 through 9.0.18 Apache Tomcat versões 8.5.38 through 8.5.100 Apache Tomcat versões 7.0.100 through 7.0.109 **Description** Autenticação inadequada no componente de cluster permite um ataque de replay contra o `EncryptionInterceptor`. Um ataque de replay ocorre quando uma transmissão de dados válida é repetida ou atrasada de forma maliciosa ou fraudulenta. **Recommendations** Atualizar versões 11.0.0-M1 through 11.0.22 para 11.0.23. Atualizar versões 10.1.0-M1 through 10.1.55 para 10.1.56. Atualizar versões 9.0.13 through 9.0.18 para 9.0.119. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade nas versões 8.5.38 through 8.5.100 e 7.0.100 through 7.0.109.

**Nome do Software Vulnerável e Versões Afetadas** Apache Tomcat versões 11.0.0-M1 até 11.0.22 Apache Tomcat versões 10.1.0-M1 até 10.1.55 Apache Tomcat versões 9.0.0.M1 até 9.0.118 Apache Tomcat versões 8.5.0 até 8.5.100 **Description** Uma implementação de fluxo de controle sempre incorreta faz com que funções especiais e restrições de autorização vazias sejam omitidas quando o `web.xml` efetivo é registrado nos logs. Essa lógica falha durante o registro do descritor efetivo resulta em logs de segurança imprecisos, o que pode enganar auditores e defensores que confiam nesses registros para validação. Consequentemente, comportamentos de autorização arriscos ou não pretendidos podem permanecer não detectados durante investigações e verificações de conformidade. **Recommendations** Atualizar para a versão 11.0.23 Atualizar para a versão 10.1.56 Atualizar para a versão 9.0.119

**Nome do Software Vulnerável e Versões Afetadas** Apache Tomcat versões 11.0.0-M1 até 11.0.22 Apache Tomcat versões 10.1.0-M7 até 10.1.55 Apache Tomcat versões 9.0.83 até 9.0.118 **Description** Existe um problema no conector TLS baseado em FFM quando as listas de revogação de certificados (CRLs) estão configuradas. O software detecta uma condição de erro durante o processamento da CRL, mas não age adequadamente, resultando em um tratamento de erro inadequado. Um invasor remoto pode explorar isso durante a autenticação de certificado de cliente TLS ao apresentar um certificado que deveria ser rejeitado. Se a configuração da CRL for inválida, o sistema ignora o erro e pode aceitar certificados inválidos, potencialmente resultando em bypass de autenticação, acesso não autorizado a endpoints protegidos ou negação de serviço. **Recommendations** Atualizar as versões do Apache Tomcat 11.0.0-M1 até 11.0.22 para a versão 11.0.23. Atualizar as versões do Apache Tomcat 10.1.0-M7 até 10.1.55 para a versão 10.1.56. Atualizar as versões do Apache Tomcat 9.0.83 até 9.0.118 para a versão 9.0.119.

**Nome do Software Vulnerável e Versões Afetadas** Apache Tomcat versões 11.0.0-M1 até 11.0.22 Apache Tomcat versões 10.1.0-M1 até 10.1.55 Apache Tomcat versões 9.0.0.M1 até 9.0.118 Apache Tomcat versões 8.5.0 até 8.5.100 **Description** Uma implementação incorreta de fluxo de controle no rewrite valve faz com que condições subsequentes que não sejam OR sejam ignoradas se a primeira condição em uma cadeia OR for correspondida. **Recommendations** Atualizar para a versão 11.0.23 Atualizar para a versão 10.1.56 Atualizar para a versão 9.0.119

Name of the Vulnerable Software and Affected Versions Apache Tomcat versões 11.0.16 através de 11.0.18 Apache Tomcat versões 10.1.51 através de 10.1.52 Apache Tomcat versões 9.0.114 através de 9.0.115 Description Existe uma falha no Apache Tomcat onde a ordem de preferência de cifra configurada não é preservada. Recomenda-se atualizar para a versão 11.0.20, 10.1.53 ou 9.0.116 para resolver este problema. Recommendations Atualize para a versão 11.0.20 do Apache Tomcat Atualize para a versão 10.1.53 do Apache Tomcat Atualize para a versão 9.0.116 do Apache Tomcat

**Nome do Software Vulnerável e Versões Afetadas** Versões do Apache Tomcat 11.0.0-M1 até 11.0.14 Versões do Apache Tomcat 10.1.0-M1 até 10.1.49 Versões do Apache Tomcat 9.0.0-M1 até 9.0.112 Versões mais antigas, de Fim de Vida (EOL), também são afetadas **Descrição** O Apache Tomcat não limita corretamente as requisições HTTP/0.9 ao método GET. Isso permite que um invasor contorne restrições de segurança. Especificamente, se uma restrição de segurança estiver configurada para permitir requisições HEAD para um Identificador Uniforme de Recursos (URI), mas negar requisições GET para o mesmo URI, um usuário pode contornar essa restrição em requisições GET enviando uma requisição HEAD inválida segundo a especificação usando HTTP/0.9. Isso é conseguido enviando uma requisição manipulada no estilo HTTP/0.9 que contorna a aplicação pretendida das restrições de segurança. O problema ocorre quando uma restrição de segurança do Tomcat permite requisições HEAD enquanto nega requisições GET para o mesmo URI. **Recomendações** Atualize para a versão 11.0.15 ou posterior do Apache Tomcat. Atualize para a versão 10.1.50 ou posterior do Apache Tomcat. Atualize para a versão 9.0.113 ou posterior do Apache Tomcat.

**Nome do Software Vulnerável e Versões Afetadas** Apache Tomcat versões 8.5.90 a 8.5.100 Apache Tomcat versões 9.0.76 a 9.0.102 Apache Tomcat versões 10.1.10 a 10.1.39 Apache Tomcat versões 11.0.0-M2 a 11.0.5 **Description** A validação inadequada de entrada no Apache Tomcat ocorre devido ao tratamento incorreto de erros em cabeçalhos de prioridade HTTP inválidos. Essa falha leva a uma limpeza incompleta de solicitações malsucedidas, resultando em um vazamento de memória. Um invasor remoto pode explorar isso enviando um grande volume de solicitações HTTP especialmente criadas para disparar uma `OutOfMemoryException`, causando a negação de serviço. **Recommendations** Atualize para a versão 9.0.104 para as versões 9.0.x afetadas. Atualize para a versão 10.1.40 para as versões 10.1.x afetadas. Atualize para a versão 11.0.6 para as versões 11.0.x afetadas. Como medida paliativa temporária, restrinja ou filtre cabeçalhos de prioridade HTTP inválidos para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Apache Tomcat versões 11.0.0-M1 até 11.0.5 Apache Tomcat versões 10.1.0-M1 até 10.1.39 Apache Tomcat versões 9.0.0.M1 até 9.0.102 **Descrição** O problema está relacionado à neutralização inadequada de sequências de escape, meta ou de controle no Apache Tomcat, o que poderia permitir que uma requisição especialmente elaborada contornasse algumas regras de reescrita. Se essas regras de reescrita efetivamente impusessem restrições de segurança, essas restrições poderiam ser contornadas. **Recomendações** Atualize para a versão [FIXED VERSION] para corrigir o problema nas versões do Apache Tomcat 11.0.0-M1 até 11.0.5 Atualize para a versão [FIXED VERSION] para corrigir o problema nas versões do Apache Tomcat 10.1.0-M1 até 10.1.39 Atualize para a versão [FIXED VERSION] para corrigir o problema nas versões do Apache Tomcat 9.0.0.M1 até 9.0.102

**Nome do software vulnerável e versões afetadas** Versões do Apache Tomcat de 9.0.96 a 11.0.0 Apache Tomcat versão 10.1.31 **Descrição** O problema está relacionado à reciclagem e reutilização incorretas de objetos no Apache Tomcat, o que pode levar a um ataque de script entre sites (XSS). Isso ocorre porque as tags JSP agrupadas não são liberadas após o uso, fazendo com que a saída de algumas tags não seja escapada como esperado, resultando em uma saída não escapada que poderia levar a um XSS. **Recomendações** Para o Apache Tomcat versão 9.0.96, atualize para a versão 9.0.97 ou posterior. Para o Apache Tomcat versão 10.1.31, atualize para a versão 10.1.33 ou posterior. Para o Apache Tomcat versão 11.0.0, atualize para a versão 11.0.1 ou posterior.

**Nome do software vulnerável e versões afetadas** Apache Tomcat Connectors, versões 1.2.9-beta a 1.2.49 **Descrição** A vulnerabilidade permite que usuários locais visualizem e modifiquem a memória compartilhada contendo a configuração do mod jk, o que pode levar à divulgação de informações e/ou à negação de serviço. Essa vulnerabilidade afeta o Apache Tomcat Connectors em sistemas do tipo Unix, mas nem o redirecionador ISAPI nem o mod jk no Windows são afetados. **Recomendações** Para as versões 1.2.9-beta a 1.2.49, atualize para a versão 1.2.50, que corrige o problema. Como solução alternativa temporária, considere restringir o acesso à memória compartilhada contendo a configuração do mod jk para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Apache Tomcat 11.0.0-M1 a 11.0.0-M16 Versões do Apache Tomcat 10.1.0-M1 a 10.1.18 Versões do Apache Tomcat 9.0.0-M1 a 9.0.85 Versões do Apache Tomcat 8.5.0 a 8.5.98 **Descrição** O problema está relacionado a uma vulnerabilidade de negação de serviço (DoS) causada por limpeza incompleta no Apache Tomcat. Era possível que clientes WebSocket mantivessem conexões WebSocket abertas, levando a um aumento no consumo de recursos. **Recomendações** Atualize para a versão 11.0.0-M17 para corrigir o problema nas versões 11.0.0-M1 a 11.0.0-M16. Atualize para a versão 10.1.19 para corrigir o problema nas versões 10.1.0-M1 a 10.1.18. Atualize para a versão 9.0.86 para corrigir o problema nas versões 9.0.0-M1 a 9.0.85. Atualize para a versão 8.5.99 para corrigir o problema nas versões 8.5.0 a 8.5.98.

**Nome do software vulnerável e versões afetadas** Versões do Apache Tomcat 11.0.0-M23 a 11.0.0-M26 Versões do Apache Tomcat 10.1.27 a 10.1.30 Versões do Apache Tomcat 9.0.92 a 9.0.95 **Descrição** O problema está relacionado à reciclagem e reutilização incorretas de objetos no Apache Tomcat, afetando especificamente a reciclagem de solicitações e respostas utilizadas por solicitações HTTP/2. Isso pode levar a uma confusão de solicitações e/ou respostas entre usuários, causando potencialmente vazamentos de dados confidenciais. **Recomendações** Para as versões do Apache Tomcat 11.0.0-M23 a 11.0.0-M26, atualize para a versão 11.0.0 para corrigir o problema. Para as versões 10.1.27 a 10.1.30 do Apache Tomcat, atualize para a versão 10.1.31 para corrigir o problema. Para as versões 9.0.92 a 9.0.95 do Apache Tomcat, atualize para a versão 9.0.96 para corrigir o problema.

**Nome do software vulnerável e versões afetadas** Versões do Apache Tomcat 11.0.0-M1 a 11.0.0-M26 Versões do Apache Tomcat 10.1.0-M1 a 10.1.30 Versões do Apache Tomcat 9.0.0-M1 a 9.0.95 **Descrição** O problema está relacionado a uma vulnerabilidade de condição de erro não verificada no Apache Tomcat. Se o Tomcat estiver configurado para usar um componente ServerAuthContext personalizado do Jakarta Authentication que possa lançar uma exceção durante o processo de autenticação sem definir explicitamente um status HTTP para indicar falha, a autenticação pode não falhar, permitindo que o usuário contorne o processo de autenticação. Não há componentes de autenticação do Jakarta conhecidos que se comportem dessa maneira. Essa vulnerabilidade poderia permitir que um invasor remoto contornasse o processo de autenticação e causasse uma negação de serviço. **Recomendações** Para resolver o problema, atualize para a versão 11.0.0, 10.1.31 ou 9.0.96, que corrigem o problema. Para as versões 11.0.0-M1 a 11.0.0-M26, atualize para a versão 11.0.0. Para as versões 10.1.0-M1 a 10.1.30, atualize para a versão 10.1.31. Para as versões 9.0.0-M1 a 9.0.95, atualize para a versão 9.0.96.

**Name of the Vulnerable Software and Affected Versions** Apache Tomcat versions 11.0.0-M1 through 11.0.0-M11 Apache Tomcat versions 10.1.0-M1 through 10.1.13 Apache Tomcat versions 9.0.0-M1 through 9.0.80 Apache Tomcat versions 8.5.0 through 8.5.93 **Description** The issue is related to an Incomplete Cleanup vulnerability in Apache Tomcat. When recycling various internal objects, an error could cause Tomcat to skip some parts of the recycling process, leading to information leaking from the current request/response to the next. **Recommendations** Upgrade to version 11.0.0-M12 onwards Upgrade to version 10.1.14 onwards Upgrade to version 9.0.81 onwards Upgrade to version 8.5.94 onwards

**Name of the Vulnerable Software and Affected Versions** Apache Tomcat versions 11.0.0-M1 through 11.0.0-M2 Apache Tomcat versions 10.1.0-M1 through 10.1.5 Apache Tomcat versions 9.0.0-M1 through 9.0.71 Apache Tomcat versions 8.5.0 through 8.5.85 **Description** When using the RemoteIpFilter with requests received from a reverse proxy via HTTP that include the X-Forwarded-Proto header set to https, session cookies created by Apache Tomcat did not include the secure attribute. This could result in the user agent transmitting the session cookie over an insecure channel. **Recommendations** For Apache Tomcat versions 11.0.0-M1 through 11.0.0-M2, update to a version that includes the fix for this issue. For Apache Tomcat versions 10.1.0-M1 through 10.1.5, update to a version that includes the fix for this issue. For Apache Tomcat versions 9.0.0-M1 through 9.0.71, update to a version that includes the fix for this issue. For Apache Tomcat versions 8.5.0 through 8.5.85, update to a version that includes the fix for this issue. As a temporary workaround, consider disabling the RemoteIpFilter until a patch is available.

**Nome do software vulnerável e versões afetadas** Versões do Apache Tomcat de 8.5.50 a 8.5.81 Versões do Apache Tomcat de 9.0.30 a 9.0.64 Versões do Apache Tomcat 10.0.0-M1 a 10.0.22 Versões do Apache Tomcat 10.1.0-M1 a 10.1.0-M16 **Descrição** O exemplo de autenticação por formulário no aplicativo web de exemplos exibia dados fornecidos pelo usuário sem filtragem, expondo uma vulnerabilidade de cross-site scripting (XSS). Isso poderia permitir que um invasor remoto realizasse um ataque XSS. **Recomendações** Para as versões do Apache Tomcat 8.5.50 a 8.5.81, atualize para uma versão que inclua a correção para esta vulnerabilidade. Para as versões do Apache Tomcat 9.0.30 a 9.0.64, atualize para uma versão que inclua a correção para esta vulnerabilidade. Para as versões do Apache Tomcat 10.0.0-M1 a 10.0.22, atualize para uma versão que inclua a correção para esta vulnerabilidade. Para as versões do Apache Tomcat 10.1.0-M1 a 10.1.0-M16, atualize para uma versão que inclua a correção para este problema. Como solução alternativa temporária, considere desativar o exemplo de autenticação por formulário no aplicativo web de exemplos até que um patch esteja disponível.