When using the Apache JServ Protocol (AJP), care must be taken when trusting incoming connections to Apache Tomcat.
When using the Apache JServ Protocol (AJP), care must be taken when trusting incoming connections to Apache Tomcat. Tomcat treats AJP connections as having higher trust than, for example, a similar HTTP connection. If such connections are available to an attacker, they can be exploited in ways that may be surprising. In Apache Tomcat 9.0.0.M1 to 9.0.0.30, 8.5.0 to 8.5.50 and 7.0.0 to 7.0.99, Tomcat shipped with an AJP Connector enabled by default that listened on all configured IP addresses. It was expected (and recommended in the security guide) that this Connector would be disabled if not required. This vulnerability report identified a mechanism that allowed: - returning arbitrary files from anywhere in the web application - processing any file in the web application as a JSP Further, if the web application allowed file upload and stored those files within the web application (or the attacker was able to control the content of the web application by some other means) then this, along with the ability to process a file as a JSP, made remote code execution possible. It is important to note that mitigation is only required if an AJP port is accessible to untrusted users. Users wishing to take a defence-in-depth approach and block the vector that permits returning arbitrary files and execution as JSP may upgrade to Apache Tomcat 9.0.31, 8.5.51 or 7.0.100 or later. A number of changes were made to the default AJP Connector configuration in 9.0.31 to harden the default configuration. It is likely that users upgrading to 9.0.31, 8.5.51 or 7.0.100 or later will need to make small changes to their configurations.
- BDU:2020-00937
- GHSA-c9hw-wf7x-jp9j
- DLA-2133-1
- DLA-2209-1
- DSA-4673-1
- DSA-4680-1
- openSUSE-SU-2020:0345-1
- openSUSE-SU-2020:0597-1
- RHSA-2020:0855
- RHSA-2020:0861
- RHSA-2020:0912
- RHSA-2020:1478
- RHSA-2020:1520
- RHSA-2020:2779
- RHSA-2020:2780
- RHSA-2020:2781
- RHSA-2020:2840
- RHSA-2020:4847
- RLSA-2020:4847
- SUSE-SU-2020:0598-1
- Опубликовано
- 24 февр. 2020 г.
- Обновлено
- 25 авг. 2026 г.
- EPSS
- 99,3 % · 100-й процентиль
- CWE
- —
Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.
Инструменты для отчёта
Оценка срочности
99
Срочно
Установите исправление сегодня или закройте доступ.
- CVSS
- 39 / 40 · 9.8 / 10
- CISA KEV
- 30 / 30 · В списке
- EPSS
- 30 / 30 · 99,3 %
Решение CISA SSVC
- Эксплуатация
- активная
- Автоматизируемо
- да
- Техническое влияние
- полное
Vulnrichment: входные данные дерева решений CISA.
Активно эксплуатируется
CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 3 мар. 2022 г.. Это указывает на реальные атаки, а не теорию.
Срок устранения для госорганов: 17 мар. 2022 г..
Затронутые системы
| Вендор | Продукт | CPE |
|---|---|---|
| apache | geode | cpe:2.3:a:apache:geode |
| apache | tomcat | cpe:2.3:a:apache:tomcat |
| fedoraproject | fedora | cpe:2.3:o:fedoraproject:fedora |
| oracle | agile engineering data management | cpe:2.3:a:oracle:agile_engineering_data_management |
| oracle | agile product lifecycle management | cpe:2.3:a:oracle:agile_product_lifecycle_management |
| oracle | communications element manager | cpe:2.3:a:oracle:communications_element_manager |
| oracle | communications instant messaging server | cpe:2.3:a:oracle:communications_instant_messaging_server |
| oracle | health sciences empirica inspections | cpe:2.3:a:oracle:health_sciences_empirica_inspections |
| oracle | health sciences empirica signal | cpe:2.3:a:oracle:health_sciences_empirica_signal |
| oracle | hospitality guest access | cpe:2.3:a:oracle:hospitality_guest_access |
| oracle | instantis enterprisetrack | cpe:2.3:a:oracle:instantis_enterprisetrack |
| oracle | mysql enterprise monitor | cpe:2.3:a:oracle:mysql_enterprise_monitor |
и ещё 9
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- apache geode1.12.0
- apache tomcat7.0.0 и новее · до 7.0.100
- apache tomcat8.5.0 и новее · до 8.5.51
- apache tomcat9.0.0 и новее · до 9.0.31
- blackberry good controlдо 5.2.58.38 включительно
- blackberry workspaces server7.0.1
- blackberry workspaces server7.1.2
- blackberry workspaces server8.1.0
- blackberry workspaces server9.0
- debian debian linux10.0
- debian debian linux8.0
- debian debian linux9.0
- fedoraproject fedora30
- fedoraproject fedora31
- fedoraproject fedora32
- netapp data availability servicesвсе версии
- netapp oncommand system manager3.0.0 и новее · до 3.1.3 включительно
- opensuse leap15.1
- oracle agile engineering data management6.2.1.0
- oracle agile product lifecycle management9.3.3
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (apache). Не зависят от анализа CPE в NVD и обычно опережают его.
Apache Apache Tomcat
- Apache Tomcat 9.0.0.M1 to 9.0.0.30, 8.5.0 to 8.5.50, 7.0.0 to 7.0.99затронута
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Debian:10 | tomcat9 | до 9.0.31-1~deb10u1 | 9.0.31-1~deb10u1 |
| Debian:12 | tomcat9 | до 9.0.31-1 | 9.0.31-1 |
| Debian:8 | tomcat7 | до 7.0.56-3+really7.0.100-1 | 7.0.56-3+really7.0.100-1 |
| Debian:8 | tomcat8 | до 8.0.14-1+deb8u17 | 8.0.14-1+deb8u17 |
| Debian:9 | tomcat8 | до 8.5.54-0+deb9u1 | 8.5.54-0+deb9u1 |
| Maven | org.apache.tomcat.embed:tomcat-embed-core | с 7.0.0 · до 7.0.100 | 7.0.100 |
| Maven | org.apache.tomcat.embed:tomcat-embed-core | с 8.0.0 · до 8.5.51 | 8.5.51 |
| Maven | org.apache.tomcat.embed:tomcat-embed-core | с 9.0.0 · до 9.0.31 | 9.0.31 |
| openSUSE:Leap 15.1 | apache2 | до 2.4.33-lp151.8.12.1 | 2.4.33-lp151.8.12.1 |
| openSUSE:Leap 15.1 | tomcat | до 9.0.31-lp151.3.12.1 | 9.0.31-lp151.3.12.1 |
| Red Hat:enterprise_linux:6::client | tomcat6 | до 0:6.0.24-114.el6_10 | 0:6.0.24-114.el6_10 |
| Red Hat:enterprise_linux:6::client | tomcat6-admin-webapps | до 0:6.0.24-114.el6_10 | 0:6.0.24-114.el6_10 |
| Red Hat:enterprise_linux:6::client | tomcat6-docs-webapp | до 0:6.0.24-114.el6_10 | 0:6.0.24-114.el6_10 |
| Red Hat:enterprise_linux:6::client | tomcat6-el-2.1-api | до 0:6.0.24-114.el6_10 | 0:6.0.24-114.el6_10 |
| Red Hat:enterprise_linux:6::client | tomcat6-javadoc | до 0:6.0.24-114.el6_10 | 0:6.0.24-114.el6_10 |
| Red Hat:enterprise_linux:6::client | tomcat6-jsp-2.1-api | до 0:6.0.24-114.el6_10 | 0:6.0.24-114.el6_10 |
| Red Hat:enterprise_linux:6::client | tomcat6-lib | до 0:6.0.24-114.el6_10 | 0:6.0.24-114.el6_10 |
| Red Hat:enterprise_linux:6::client | tomcat6-servlet-2.5-api | до 0:6.0.24-114.el6_10 | 0:6.0.24-114.el6_10 |
| Red Hat:enterprise_linux:6::client | tomcat6-webapps | до 0:6.0.24-114.el6_10 | 0:6.0.24-114.el6_10 |
| Red Hat:enterprise_linux:7::client | tomcat | до 0:7.0.76-11.el7_7 | 0:7.0.76-11.el7_7 |
| Red Hat:enterprise_linux:7::client | tomcat-admin-webapps | до 0:7.0.76-11.el7_7 | 0:7.0.76-11.el7_7 |
| Red Hat:enterprise_linux:7::client | tomcat-docs-webapp | до 0:7.0.76-11.el7_7 | 0:7.0.76-11.el7_7 |
| Red Hat:enterprise_linux:7::client | tomcat-el-2.2-api | до 0:7.0.76-11.el7_7 | 0:7.0.76-11.el7_7 |
| Red Hat:enterprise_linux:7::client | tomcat-javadoc | до 0:7.0.76-11.el7_7 | 0:7.0.76-11.el7_7 |
+96
Тот же продукт
apache: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2022-37021Apache Geode deserialization of untrusted data flaw when using JMX over RMI on Java 8.40В плане
- CVE-2017-15692In Apache Geode before v1.4.0, the TcpServer within the Geode locator opens a network port that deserializes data.40В плане
- CVE-2017-15695When an Apache Geode server versions 1.0.0 to 1.4.0 is configured with a security manager, a user with DATA:WRITE privileges is allowed to d36Наблюдать
- CVE-2025-47410Apache Geode: CSRF attacks through GET requests to the Management and Monitoring REST API that can execute gfsh commands on the target system35Наблюдать
- CVE-2022-37022Apache Geode deserialization of untrusted data flaw when using JMX over RMI on Java 1135Наблюдать
- CVE-2021-34797Apache Geode project log file redaction of sensitive information vulnerability31Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| Debian:tomcat7 | 7.0.56-3+really7.0.100-1 · Debian:8 | Реестр пакетов (OSV) |
| Debian:tomcat8 | 8.0.14-1+deb8u17 · Debian:8 | Реестр пакетов (OSV) |
| Debian:tomcat9 | 9.0.31-1 · Debian:12 | Реестр пакетов (OSV) |
| Maven:org.apache.tomcat.embed:tomcat-embed-core | 7.0.100 | Реестр пакетов (OSV) |
| Maven:org.apache.tomcat.embed:tomcat-embed-core | 8.5.51 | Реестр пакетов (OSV) |
| Maven:org.apache.tomcat.embed:tomcat-embed-core | 9.0.31 | Реестр пакетов (OSV) |
| openSUSE:apache2 | 2.4.33-lp151.8.12.1 · openSUSE:Leap 15.1 | Реестр пакетов (OSV) |
| openSUSE:tomcat | 9.0.31-lp151.3.12.1 · openSUSE:Leap 15.1 | Реестр пакетов (OSV) |
| Red Hat:tomcat | 0:7.0.76-11.el7_7 · Red Hat:enterprise_linux:7::client | Реестр пакетов (OSV) |
| Red Hat:tomcat-admin-webapps | 0:7.0.76-11.el7_7 · Red Hat:enterprise_linux:7::client | Реестр пакетов (OSV) |
| Red Hat:tomcat-docs-webapp | 0:7.0.76-11.el7_7 · Red Hat:enterprise_linux:7::client | Реестр пакетов (OSV) |
| Red Hat:tomcat-el-2.2-api | 0:7.0.76-11.el7_7 · Red Hat:enterprise_linux:7::client | Реестр пакетов (OSV) |
| Red Hat:tomcat-javadoc | 0:7.0.76-11.el7_7 · Red Hat:enterprise_linux:7::client | Реестр пакетов (OSV) |
| Red Hat:tomcat-jsp-2.2-api | 0:7.0.76-11.el7_7 · Red Hat:enterprise_linux:7::client | Реестр пакетов (OSV) |
| Red Hat:tomcat-jsvc | 0:7.0.76-11.el7_7 · Red Hat:enterprise_linux:7::client | Реестр пакетов (OSV) |
| Red Hat:tomcat-lib | 0:7.0.76-11.el7_7 · Red Hat:enterprise_linux:7::client | Реестр пакетов (OSV) |
| Red Hat:tomcat-native | 0:1.2.23-21.redhat_21.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6 | Реестр пакетов (OSV) |
| Red Hat:tomcat-native-debuginfo | 0:1.2.23-21.redhat_21.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6 | Реестр пакетов (OSV) |
| Red Hat:tomcat-servlet-3.0-api | 0:7.0.76-11.el7_7 · Red Hat:enterprise_linux:7::client | Реестр пакетов (OSV) |
| Red Hat:tomcat-webapps | 0:7.0.76-11.el7_7 · Red Hat:enterprise_linux:7::client | Реестр пакетов (OSV) |
| Rocky Linux:apache-commons-collections | 0:3.2.2-10.module+el8.3.0+53+ea062990 · Rocky Linux:8 | Реестр пакетов (OSV) |
| Rocky Linux:apache-commons-lang | 0:2.6-21.module+el8.3.0+53+ea062990 · Rocky Linux:8 | Реестр пакетов (OSV) |
| Rocky Linux:apache-commons-net | 0:3.6-3.module+el8.3.0+53+ea062990 · Rocky Linux:8 | Реестр пакетов (OSV) |
| Rocky Linux:bea-stax | 0:1.2.0-16.module+el8.3.0+53+ea062990 · Rocky Linux:8 | Реестр пакетов (OSV) |
| Rocky Linux:glassfish-fastinfoset | 0:1.2.13-9.module+el8.3.0+53+ea062990 · Rocky Linux:8 | Реестр пакетов (OSV) |
| Rocky Linux:glassfish-jaxb | 0:2.2.11-11.module+el8.3.0+53+ea062990 · Rocky Linux:8 | Реестр пакетов (OSV) |
| Rocky Linux:glassfish-jaxb-api | 0:2.2.12-8.module+el8.3.0+53+ea062990 · Rocky Linux:8 | Реестр пакетов (OSV) |
| Rocky Linux:jackson-annotations | 0:2.10.0-1.module+el8.3.0+53+ea062990 · Rocky Linux:8 | Реестр пакетов (OSV) |
| Rocky Linux:jackson-core | 0:2.10.0-1.module+el8.3.0+53+ea062990 · Rocky Linux:8 | Реестр пакетов (OSV) |
| Rocky Linux:jackson-databind | 0:2.10.0-1.module+el8.3.0+53+ea062990 · Rocky Linux:8 | Реестр пакетов (OSV) |
+5
Статус эксплойта
Готовый эксплойт
Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.
Доказательство
- Модуль Metasploit ×1
- Запись Exploit-DB ×2
- Шаблон обнаружения Nuclei ×1
- Репозиторий PoC на GitHub ×39
Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.
| Источник | Тип | Дата |
|---|---|---|
| Запись Exploit-DB | webapps | 2020-02-20 |
| Запись Exploit-DB | webapps | 2020-11-13 |
| Модуль Metasploit | auxiliary/admin/http/tomcat_ghostcatApache Tomcat AJP File Readauxiliary | 2020-02-20 |
| Шаблон обнаружения Nuclei | Шаблон Nuclei CVE-2020-1938 | — |
| Репозиторий PoC на GitHub | stars:1 | 2021-04-27 |
| Репозиторий PoC на GitHub | stars:45 | 2020-02-20 |
| Репозиторий PoC на GitHub | stars:3 | 2020-02-20 |
| Репозиторий PoC на GitHub | stars:293 | 2020-02-20 |
| Репозиторий PoC на GitHub | stars:38 | 2020-02-21 |
| Репозиторий PoC на GitHub | stars:2 | 2020-02-21 |
| Репозиторий PoC на GitHub | stars:57 | 2020-02-21 |
| Репозиторий PoC на GitHub | stars:11 | 2020-02-21 |
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
- Первый PoC-5 дн.
- Metasploit-5 дн.
- Публикация
- CISA KEV+737 дн.
- Сегодня29 сент. 2026 г.+2409 дн.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
Ночной расчёт связей ничего не нашёл.
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- высокое · данные или конфигурация могут быть изменены
- Доступность
- высокое · работа сервиса может быть нарушена
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Высокое
- Влияние на доступность
- Высокое
Класс уязвимости (CWE)
—
Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.
Анализ Noroxi
Анализа Noroxi для этой записи пока нет
Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.
Мы используем этот продукт, нужна помощьЖурнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
- lists.opensuse.org/opensuse-security-announce/2020-03/msg00025.html
- lists.opensuse.org/opensuse-security-announce/2020-05/msg00002.html
- support.blackberry.com/kb/articleDetail?articleNumber=000062739
- lists.apache.org/thread.html/r089dc67c0358a1556dd279c762c74f32d7a254a54836b7ee2d839d8e%40%3Cdev.tomee.apache.org%3E
- lists.apache.org/thread.html/r1125f3044a0946d1e7e6f125a6170b58d413ebd4a95157e4608041c7%40%3Cannounce.apache.org%3E
- lists.apache.org/thread.html/r17aaa3a05b5b7fe9075613dd0c681efa60a4f8c8fbad152c61371b6e%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/r38a5b7943b9a62ecb853acc22ef08ff586a7b3c66e08f949f0396ab1%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/r43faacf64570b1d9a4bada407a5af3b2738b0c007b905f1b6b608c65%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/r47caef01f663106c2bb81d116b8380d62beac9e543dd3f3bc2c2beda%40%3Ccommits.tomee.apache.org%3E
- lists.apache.org/thread.html/r4afa11e0464408e68f0e9560e90b185749363a66398b1491254f7864%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/r4f86cb260196e5cfcbbe782822c225ddcc70f54560f14a8f11c6926f%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/r549b43509e387a42656f0641fa311bf27c127c244fe02007d5b8d6f6%40%3Cdev.tomcat.apache.org%3E
- lists.apache.org/thread.html/r57f5e4ced436ace518a9e222fabe27fb785f09f5bf974814cc48ca97%40%3Ccommits.tomee.apache.org%3E
- lists.apache.org/thread.html/r5e2f1201b92ee05a0527cfc076a81ea0c270be299b87895c0ddbe02b%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/r61f280a76902b594692f0b24a1dbf647bb5a4c197b9395e9a6796e7c%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/r6a5633cad1b560a1e51f5b425f02918bdf30e090fdf18c5f7c2617eb%40%3Ccommits.tomee.apache.org%3E
- lists.apache.org/thread.html/r74328b178f9f37fe759dffbc9c1f2793e66d79d7a8a20d3836551794%40%3Cnotifications.ofbiz.apache.org%3E
- lists.apache.org/thread.html/r75113652e46c4dee687236510649acfb70d2c63e074152049c3f399d%40%3Cnotifications.ofbiz.apache.org%3E
- lists.apache.org/thread.html/r772335e6851ad33ddb076218fa4ff70de1bf398d5b43e2ddf0130e5d%40%3Cdev.tomcat.apache.org%3E
- lists.apache.org/thread.html/r7c6f492fbd39af34a68681dbbba0468490ff1a97a1bd79c6a53610ef%40%3Cannounce.tomcat.apache.org%3E
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.