Несанкционированные действия

Средняя (5.0)

(AV:N/AC:L/Au:N/C:N/I:P/A:N)

Apache Software Foundation

Apache Tomcat (7.0.0, 7.0.78, 8.0.0, 8.0.44, 8.5.0, 8.5.15, 9.0.0.M1, 9.0.0.M21)

Реализация страниц ошибок (в соответствии со спецификацией сервлетов Java) требует, чтобы при возникновении ошибки, для которой предусмотрена страница, исходный запрос и ответ направлялись странице ошибки. Это означает, что запрос для страницы ошибки отправляется с исходным HTTP-методом. Если страница ошибки представляет собой статический файл, то содержимое файла должно обрабатываться как GET-запрос, независимо от фактического HTTP-метода. Сервлет по умолчанию в Apache Tomcat действует иным образом. В зависимости от изначального запроса, это может привести к непредусмотренным и нежелательным последствиям для статических страниц ошибок, включая замену или удаление пользовательских страниц ошибок, если DefaultServlet имеет разрешение на запись. Примечания для пользовательских страниц ошибок: 1) при отсутствии специальных настроек JSP игнорирует HTTP-метод. JSP, используемые в качестве страниц ошибок, должны обеспечивать обработку всех ошибок как GET-запросы, независимо от фактического метода; 2) по умолчанию, ответ, сформированный сервлетом, зависит от HTTP-метода. Пользовательские сервлеты, используемые в качестве страниц ошибок, должны обеспечивать обработку всех ошибок как GET-запросы, независимо от фактического метода.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://tomcat.apache.org/

Источник: CVE
Наименование: CVE-2017-5664
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5664

http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.78
http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.0.44
http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.15
http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.0.M21