Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Apache Tomcat opravuje 3 zranitelnosti

Apache verzemi 11.0.8, 10.1.42 a 9.0.106 opravuje 3 zranitelnosti v produktu Apache Tomcat [1][2][3]. Oprava zatím není dostupná pro žádné ze stabilních vydání populárních linuxových distribucí [4][5][6][7][8][9]. Gentoo má opravené verze dostupné jako testing [10].

Apache Tomcat - DoS (CVE-2025-48988)
CVSS 7.5 (High)

Neautentizovaný vzdálený útočník může provést DoS útok zasíláním speciálně vytvořených požadavků [3].

Zranitelnost se nachází v produktu:

  • Apache Tomcat; >=11.0.0-M1, <11.0.7; >=10.1.0-M1, <10.1.41; >=9.0.0.M1, <9.0.105;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

Zranitelnost byla veřejně oznámena 16. 6. 2025.

Apache Tomcat - side-loading (CVE-2025-49124)
CVSS 8.4 (High)

Neautentizovaný lokální útočník může vykonat libovolný kód pomocí side-loading útoku během instalace Apache Tomcat na Windows [2].

Zranitelnost se nachází v produktu:

  • Apache Tomcat; >=11.0.0-M1, <11.0.7; >=10.1.0, <10.1.41; >=9.0.23, <9.0.105;

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 16. 6. 2025.

Apache Tomcat - security constraint bypass (CVE-2025-49125)
CVSS 7.5 (High)

Neautentizovaný vzdálený útočník může obejít bezpečnostní omezení při přístupu k určitým zdrojům pomocí speciálně vytvořeného odkazu. Zranitelnost lze zneužít pouze tehdy, jsou-li PreResources/PostResources připojeny mimo kořen webové aplikace [1].

Zranitelnost se nachází v produktu:

  • Apache Tomcat; >=11.0.0-M1, <11.0.7; >=10.1.0-M1, <10.1.41; >=9.0.0.M1, <9.0.105;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 16. 6. 2025.

Za CESNET, z.s.p.o. Martin Krajči dne 19. 6. 2025.

CESNET, z.s.p.o. Logo