Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Múltiples vulnerabilidades en Apache Tomcat

Fecha de publicación 15/07/2020
Importancia
5 - Crítica
Recursos Afectados

Apache Tomcat, versiones:

  • desde la 7.0.27, hasta la 7.0.104;
  • desde la 8.5.0, hasta la 8.5.56;
  • desde la 9.0.0.M1, hasta la 9.0.36;
  • desde la 10.0.0-M1, hasta la 10.0.0-M6.
Descripción

Las versiones 7, 8, 9 y 10 de Apache Tomcat están afectadas por 2 vulnerabilidades, una severidad crítica y otra media, de tipo denegación de servicio (DoS) en WebSocket y DoS en el protocolo HTTP/2, respectivamente.

Solución

Actualizar a las versiones:

  • 7.0.105;
  • 8.5.57;
  • 9.0.37;
  • 10.0.0-M7.
Detalle
  • La longitud del payload en un marco de WebSocket no se valida correctamente. Las longitudes de payload no válidas podrían desencadenar un bucle infinito. Múltiples solicitudes con longitudes de carga no válidas podrían conducir a una denegación de servicio (DoS). Se ha asignado el identificador CVE-2020-13935 para esta vulnerabilidad.
  • Una conexión directa h2c (HTTP/2 sobre TCP) no libera el procesador HTTP/1.1 después de la actualización a HTTP/2. Si se hiciera un número suficiente de tales solicitudes, podría producirse una excepción OutOfMemoryException que llevaría a una denegación de servicio (DoS). No afecta a la versión 7 de Apache Tomcat. Se ha asignado el identificador CVE-2020-13934 para esta vulnerabilidad.

Encuesta valoración