Apache Tomcat Seite 7

In Apache::API::Password bis Version 0.5.2 für Perl können bei der Generierung von Salts unsichere Zufallswerte entstehen. Die Methoden _make_salt und _make_salt_bcrypt versuchen dabei Crypt::URandom zu laden und greifen auf schwächere Zufallsquellen zurück, falls dies fehlschlägt. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Ein Benutzer mit Datenbankzugriff kann in Apache Airflow einen Datenbankeintrag so manipulieren, dass auf dem Triggerer Code ausgeführt wird. Dies gewährt dem Angreifer dieselben Berechtigungen wie einem DAG-Autor. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Das CloudStack Backup-Plugin weist in den Versionen 4.21.0.0 und 4.22.0.0 eine fehlerhafte Zugriffslogik auf. Authentifizierte Benutzer in betroffenen Umgebungen, in denen dieses Plugin aktiviert ist, können unbefugten Zugriff erlangen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Apache NiFi fehlt der optionalen Erweiterungskomponente TinkerpopClientService (Versionen 2.0.0-M1 bis 2.8.0) die Restricted-Annotation mit der Execute-Code-Berechtigung. Dies kann es Angreifern ermöglichen, die Zugriffskontrolle zu umgehen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Apache CloudStack werden MinIO-Richtlinien beim Löschen eines Buckets nicht bereinigt. Dadurch können Benutzer den Zugriff auf Buckets behalten, die sie zuvor besassen. Erstellt ein anderer Benutzer einen neuen Bucket mit demselben Namen, kann der frühere Eigentümer unberechtigten Zugriff erhalten. CVSS-Basiswert: 8.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Apache Tomcat führte eine Regression in der Behebung von Bug 60013 dazu, dass umgeschriebene URLs vor der Dekodierung normalisiert wurden. Bei Rewrite-Regeln, die Query-Parameter in die URL umschreiben, kann ein Angreifer dadurch Sicherheitsbeschränkungen einschliesslich des Schutzes von /WEB-INF/ und /META-INF/ umgehen. Sind zusätzlich PUT-Requests aktiviert, können bösartige Dateien hochgeladen werden, was zu Remote Code Execution führt. Betroffen sind laut NVD Tomcat 11.0.0-M1 bis 11.0.10, 10.1.0-M1 bis 10.1.44 sowie 9.0.0.M11 bis 9.0.108; bekannt betroffen sind zudem End-of-Life-Versionen 8.5.6 bis 8.5.100. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 11.0.11, 10.1.45 oder 9.0.109 bzw. neuer.

Eine Schwachstelle bezüglich unvollständiger Ressourcenfreigabe (Improper Resource Shutdown or Release) macht Apache Tomcat anfällig für den sogenannten Made-You-Reset-Angriff. Betroffen sind die Versionen 11.0.0-M1 bis 11.0.9, 10.1.0-M1 bis 10.1.43 sowie 9.0.0.M1 bis 9.0.107; ältere, End-of-Life-Versionen können laut Quelle ebenfalls betroffen sein. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 11.0.10, 10.1.44 oder 9.0.108.

In Apache Tomcat besteht eine Schwachstelle durch unkontrollierten Ressourcenverbrauch (Uncontrolled Resource Consumption), wenn ein HTTP/2-Client das initiale Settings-Frame zur Reduzierung der maximal zulässigen gleichzeitigen Streams nicht bestätigt. Betroffen sind die Versionen 11.0.0-M1 bis 11.0.8, 10.1.0-M1 bis 10.1.42 sowie 9.0.0.M1 bis 9.0.106; auch die End-of-Life-Version 8.5.0 bis 8.5.100 gilt als betroffen, weitere EOL-Versionen können ebenfalls betroffen sein. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 11.0.9, 10.1.43 oder 9.0.107.

In Apache Tomcat besteht bei Verwendung des APR/Native-Connectors eine Race Condition durch unzureichende Synchronisierung gemeinsam genutzter Ressourcen. Das Problem tritt insbesondere auf, wenn Clients HTTP/2- Verbindungen aktiv beenden. Betroffen ist Apache Tomcat von 9.0.0.M1 bis 9.0.106; auch die End-of-Life-Versionen 8.5.0 bis 8.5.100 sowie potenziell ältere EOL-Versionen sind betroffen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 9.0.107.

In bestimmten unwahrscheinlichen Konfigurationen für Multipart-Uploads besteht in Apache Tomcat ein Integer-Overflow, der zu einem Denial of Service durch Umgehung von Grössenlimits führen kann. Betroffen sind die Versionen 11.0.0-M1 bis 11.0.8, 10.1.0-M1 bis 10.1.42 sowie 9.0.0.M1 bis 9.0.106; auch die End-of-Life-Versionen 8.5.0 bis 8.5.100 sind betroffen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 11.0.9, 10.1.43 oder 9.0.107.

Der Windows-Installer von Apache Tomcat rief während der Installation icacls.exe ohne Angabe eines vollständigen Pfades auf, was eine Untrusted-Search-Path-Schwachstelle darstellt. Betroffen sind Tomcat 11.0.0-M1 bis 11.0.7, 10.1.0 bis 10.1.41 und 9.0.23 bis 9.0.105 sowie bereits abgekündigte Versionen. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 11.0.8, 10.1.42 oder 9.0.106.

In Apache Tomcat besteht eine Schwachstelle durch die Zuweisung von Ressourcen ohne Begrenzung oder Drosselung. Betroffen sind Apache Tomcat 11.0.0-M1 bis 11.0.0-M20, 10.1.0-M1 bis 10.1.24 sowie 9.0.13 bis 9.0.89 (und die abgekündigten Zweige 8.5.x und 7.0.x). Unter bestimmten Konfigurationen kann ein Angreifer durch Missbrauch des TLS-Handshake-Prozesses einen OutOfMemoryError herbeiführen und so einen Denial of Service verursachen. Empfohlene Massnahme: Aktualisierung auf Version 11.0.0-M21, 10.1.25 oder 9.0.90. CVSS-Basiswert: 8.6 (Hoch).

Beim Verarbeiten eines HTTP/2-Streams behandelt Apache Tomcat bestimmte Fälle von übermässigen HTTP-Headern nicht korrekt, was zu einer Fehlzählung aktiver HTTP/2-Streams und in der Folge zu einem fälschlich unendlichen Timeout führt; Verbindungen bleiben dadurch offen, die eigentlich geschlossen werden müssten. Betroffen sind Tomcat 11.0.0-M1 bis 11.0.0-M20, 10.1.0-M1 bis 10.1.24 sowie 9.0.0-M1 bis 9.0.89; auch zum Zeitpunkt der CVE-Erstellung bereits EOL-Versionen ab 8.5.0 bis 8.5.100 können betroffen sein. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Auf Version 11.0.0-M21, 10.1.25 oder 9.0.90 aktualisieren.

Durch unsachgemässe Eingabevalidierung bei HTTP/2-Anfragen entsteht in Apache Tomcat laut Quelle eine Denial-of-Service-Schwachstelle. Überschreitet eine Anfrage die konfigurierten Grenzwerte für Header, wurde der zugehörige HTTP/2-Stream erst zurückgesetzt, nachdem alle Header verarbeitet worden waren. Betroffen sind Apache Tomcat 11.0.0-M1 bis 11.0.0-M16, 10.1.0-M1 bis 10.1.18, 9.0.0-M1 bis 9.0.85 sowie 8.5.0 bis 8.5.98; ältere EOL-Versionen können laut Quelle ebenfalls betroffen sein. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Auf Version 11.0.0-M17, 10.1.19, 9.0.86 oder 8.5.99 aktualisieren.

Apache Tomcat verarbeitet in den Versionen 11.0.0-M1 bis 11.0.0-M10, 10.1.0-M1 bis 10.1.15, 9.0.0-M1 bis 9.0.82 sowie 8.5.0 bis 8.5.95 laut NVD HTTP-Trailer-Header fehlerhaft: Ein Trailer-Header, der das Grössenlimit überschreitet, kann dazu führen, dass Tomcat eine einzelne Anfrage als mehrere Anfragen behandelt, was hinter einem Reverse-Proxy Request Smuggling ermöglicht. Auch ältere, nicht mehr unterstützte Versionen können betroffen sein. Empfohlene Massnahme: Update auf Version 11.0.0-M11, 10.1.16, 9.0.83 oder 8.5.96 beziehungsweise neuer. CVSS-Basiswert: 7.5 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Synology-Produkte wurde eine Sicherheitslücke in Apache Tomcat gemeldet (Synology-SA-19:17). Betroffen sind Synology, Apache Tomcat und Microsoft Windows. Ausnutzungswahrscheinlichkeit (EPSS): 98.5 %.

Apache Tomcat verarbeitete den HTTP-Header transfer-encoding in bestimmten Konstellationen fehlerhaft, was unter Umständen die Möglichkeit von Request Smuggling eröffnet. Betroffen sind die Versionsreihen 10.0.0-M1 bis 10.0.6, 9.0.0.M1 bis 9.0.46 sowie 8.5.0 bis 8.5.66. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 75.4 %.

Für Synology-Produkte wurde im Rahmen des Tomcat-Advisories (Synology-SA-17:54) eine Sicherheitslücke (CVE-2017-12616) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 64.4 %.

Für Arch- und Apache-Tomcat-Produkte wurde eine Sicherheitslücke (CVE-2025-31650) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 59.9 %.

Für Apache Tomcat wurde eine Sicherheitslücke (CVE-2025-48988) gemeldet; Arch Linux führt das betroffene Paket in seinem Security-Advisory. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 57.0 %.

Beim Bereitstellen von Ressourcen von einem Netzwerkspeicherort über das NTFS-Dateisystem war Apache Tomcat in den Versionen 10.0.0-M1 bis 10.0.0-M9, 9.0.0.M1 bis 9.0.39, 8.5.0 bis 8.5.59 sowie 7.0.0 bis 7.0.106 anfällig. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 22.9 %.

Für Synology-Produkte wurde eine Sicherheitslücke in Apache Tomcat gemeldet (CVE-2018-8034). Ausnutzungswahrscheinlichkeit (EPSS): 20.9 %.

Die Apache Software Foundation führt CVE-2025-55754 in ihren Sicherheitsmeldungen zu Apache Log4j. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 10.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Number-Guess-Beispiel von Apache Tomcat besteht eine Basic-XSS-Schwachstelle durch unzureichende Neutralisierung skriptbezogener HTML-Tags in einer Webseite. Betroffen ist Apache Tomcat ab Version 11.0.0-M1. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 2.6 %.

Eine fehlerhafte Kodierung nicht-finiter Gleitkommawerte bei der JSON-Serialisierung von MapMessage in der Apache Log4j API erzeugt Ausgaben, die kein gültiges JSON sind. Betroffen sind Versionen der Apache Log4j API ab 2.13. Ein CVSS-Wert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: verfügbare Aktualisierungen der Apache Log4j API einspielen.

Der GCSToSambaOperator im Samba-Provider von Apache Airflow verband GCS-Objektnamen mit dem SMB-Zielpfad ohne Containment-Prüfung, sodass ein Objektname mit `../`-Segmenten einen Schreibpfad ausserhalb des vorgesehenen Verzeichnisses auflöste. Die Kennung ist zusätzlich beim Samba-Projekt gelistet. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Eine Cross-Site-Scripting-Schwachstelle in Apache ActiveMQ bzw. der Apache ActiveMQ Web Console: Die Browse-Seite der Web-Konsole rendert eine Nachricht (weitere Details in der Quelle abgeschnitten), wodurch Skripte eingeschleust werden können. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Ein DAG-Autor konnte im Task-Log-Verzeichnis einen Symlink auf eine beliebige, vom API-Server-Prozess lesbare Datei erstellen und so einen Lesepfad-Angriff durchführen (z. B. auf /etc/passwd oder airflow.cfg). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

In Apache Airflow ruft die Bulk-Variables-API den Redactor ohne den Variablenschlüssel auf, sodass die schlüsselbasierte Prüfung `should_hide_value_for_key` – die bei geheim benannten Schlüsseln greift – nicht ausgelöst wird und sensible Werte offengelegt werden können. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Die Config API in Apache Airflow gab pro Schlüssel definierte Secrets-Backend-Overrides preis, die als Umgebungsvariablen gesetzt waren. Dadurch konnten sensible Konfigurationswerte an authentifizierte Nutzer offengelegt werden. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Auf eine fehlerbereinigte Apache-Airflow-Version aktualisieren.

In Apache Airflow vor 3.3.0 gaben die REST-API-Endpunkte für Task-Instance-Details und -Listen die Trigger-Kwargs einer aufgeschobenen (deferred) Task ohne Maskierung zurück. Reichte ein deferred Operator ein Secret weiter, konnte dieses so offengelegt werden. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Auf Apache Airflow 3.3.0 oder neuer aktualisieren.

Ein Fehler im Scheduling-Graph-Endpunkt /ui/dependencies von Apache Airflow wandte den Dag-Lesefilter des Aufrufers zwar auf den serialisierten Top-Level-Dag-Schlüssel an, gab referenzierte Dag-IDs jedoch weiterhin preis. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In Apache Airflow vor 3.3.0 konnte ein zum Lesen eines DAGs berechtigter Nutzer den Quellcode anderer DAGs offenlegen, die in derselben Quelldatei liegen – etwa über den Endpunkt GET /api/v2/dagSources/{dag_id}. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: Auf Apache Airflow 3.3.0 aktualisieren.

Im Apache HTTP Server besteht bei Nutzung von mod_headers und mod_mime mit mehreren Antwortsprachen eine Out-of-bounds-Read-Schwachstelle. Betroffen sind Versionen von 2.4.0 bis einschliesslich 2.4.67. Die Kennung ist zusätzlich bei Asustor, beim Axis-Communications-Advisory-Tracking sowie im Ubuntu-Sicherheitshinweis USN-8571-1 gelistet. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine nicht betroffene Version des Apache HTTP Servers aktualisieren.

Eine Cross-Site-Scripting-Schwachstelle besteht in der HTML-Verzeichnislisten-Erzeugung von mod_proxy_ftp im Apache HTTP Server 2.4.67 und früher, wenn FTP-Verzeichnisinhalte per Forward- oder Reverse-Proxy aufgelistet werden. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Apache Flink Kubernetes Operator wird der jarURI-Parameter von FlinkSessionJob nicht validiert, was Server-Side Request Forgery (SSRF) und den Zugriff auf externe Ressourcen ermöglicht. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Apache Answer (bis einschliesslich Version 2.0.0) besteht eine Schwachstelle durch unbeschränkten Upload von Dateien eines gefährlichen Typs. Eine präparierte TIFF-Datei kann bei der Verarbeitung eine übermässige Speicherallokation auslösen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine bereinigte Version von Apache Answer aktualisieren.

Der Parameter clientId aus eingehenden HTTP-Anfragen wird ohne Bereinigung von Steuerzeichen direkt in Warnmeldungen des OAuth2-Server-Logs eingefügt. Dadurch kann ein Angreifer beliebige Inhalte in die Log-Dateien einschleusen (Log-Injection). CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Update auf eine bereinigte Version einspielen.

In der Komponente camel-elasticsearch-rest-client von Apache Camel ermöglichen eine unzureichende Eingabevalidierung und eine Autorisierungsumgehung über einen benutzergesteuerten Schlüssel unerwünschtes Verhalten, da die Komponente mehrere Exchange-Werte ungeprüft übernimmt. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Update auf eine bereinigte Apache-Camel-Version einspielen.

Eine fehlerhafte Autorisierung in Apache DolphinScheduler erlaubt Benutzern mit System-Login-Berechtigung, Task-Definitionen in Projekten zu löschen, für die sie nicht berechtigt sind. Betroffen sind Versionen vor 3.4.2. CVSS-Basiswert: 4.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 3.4.2 oder neuer aktualisieren.

In Apache Calcite (Versionen ab 1.5.0 bis vor 1.42) ermöglicht die Verwendung extern kontrollierter Eingaben zur Klassen- oder Code-Auswahl eine „Unsafe Reflection”-Schwachstelle. Nutzern wird ein Upgrade empfohlen. CVSS-Basiswert: 6.5 (Mittel).

In Apache DolphinScheduler erlaubt eine fehlerhafte Zugriffskontrolle authentifizierten Benutzern den Zugriff auf Alert-Instanzen von Alarmgruppen, für die sie keine Berechtigung besitzen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Apache APISIX besteht eine Authentifizierungsumgehung durch Capture-Replay: Bei bestimmten Konfigurationen des hmac-auth-Plugins kann ein Token dauerhaft wiederverwendet werden, wodurch die Ablauffrist umgangen wird. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: betroffene Apache-APISIX-Version gemäss Herstelleradvisory aktualisieren.

In der IRC-Komponente von Apache Camel besteht eine Schwachstelle durch unzureichende Eingabevalidierung und mangelnde Neutralisierung von Sonderzeichen in der Ausgabe an eine nachgelagerte Komponente (Injection). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Apache-Camel-Komponente camel-dapr besteht eine Schwachstelle durch unzureichende Eingabevalidierung (Confused Deputy / Unintended Proxy). Der Dapr-Pub/Sub-Consumer (DaprPubSubConsumer) übernahm dabei Felder ungeprüft. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: betroffene camel-dapr-Version gemäss Apache-Advisory aktualisieren.

Eine Autorisierungsschwachstelle in Apache Tomcat führt dazu, dass die für das Default-Servlet festgelegten Sicherheitsbeschränkungen jede als Teil der Beschränkung konfigurierte HTTP-Methode oder Methoden-Auslassung ignorieren. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Apache Answer bis einschliesslich Version 2.0.0 besteht eine Schwachstelle durch unzureichende Neutralisierung alternativer XSS-Syntax. KI-generierte Antwortinhalte wurden ohne ausreichende Bereinigung im Browser gerendert. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Auf eine korrigierte Version von Apache Answer aktualisieren.

In Apache Answer bis einschliesslich Version 2.0.0 besteht eine Schwachstelle, durch die private, personenbezogene Informationen an unbefugte Akteure offengelegt werden. Timeline-bezogene APIs verfügten nicht über eine ausreichende Autorisierungsprüfung. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Klasse OAuth2 AuthorizationUtils besteht eine CRLF-Injection-Schwachstelle. Beim Aufbau des WWW-Authenticate-Antwort-Headers wird der Parameter 'realm' ohne Bereinigung von Carriage-Return-/Line-Feed-Zeichen zusammengesetzt. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Auf eine fehlerbereinigte Version aktualisieren.

In Apache Answer besteht eine Schwachstelle durch den unbeschränkten Upload von Dateien eines gefährlichen Typs. Der Server validierte von Nutzern bereitgestellte Bild-URLs nicht ausreichend. Betroffen sind Versionen bis einschliesslich 2.0.0. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.