Apache Tomcat opravuje 2 zranitelnosti

Připadá Vám tento report dobře zpracovaný? *

Ano

Používáte tuto technologii? *

Ano

Byl pro Vás tento report užitečný?

Ano

Budeme rádi, pokud se rozepíšete:

Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.

[TLP:CLEAR] Apache Tomcat opravuje 2 zranitelnosti

Apache Software Foundation verzemi 11.0.6, 10.1.40 a 9.0.104 opravuje 2 zranitelnosti v produktu Apache Tomcat [1][2].

Apache Tomcat - DoS (CVE-2025-31650)

CVSS 7.5 (High)

Neautentizovanému vzdálenému útočníkovi je kvůli nesprávnému ošetření chyb při zpracování neplatných HTTP prioritních hlaviček umožněno způsobit únik paměti, což může při větším množství chybných požadavků vést k vyčerpání paměti a DoS útoku [1].

Zranitelnost se nachází v produktu:

Apache Tomcat; >=11.0.0-M2, <=11.0.5; >=10.1.10, <=10.1.39; >=9.0.76, <=9.0.102

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

CVE-2025-31650 na cve.org, NVD
CWE-20: Improper Input Validation na cwe.mitre.org

Zranitelnost byla veřejně oznámena 28. 4. 2025.

Apache Tomcat - rewrite rule bypass (CVE-2025-31651)

CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je kvůli chybě v přepisovacích pravidlech umožněno obejít bezpečnostní omezení v určitých konfiguracích [2].

Zranitelnost se nachází v produktu:

Apache Tomcat; >=11.0.0-M2, <=11.0.5; >=10.1.10, <=10.1.39; >=9.0.76, <=9.0.102

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H