Incomplete fix for CVE-2020-9484
Оценка Noroxi
Приоритет: Наблюдать (оценка срочности 31/100)
- В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
- Вероятность эксплуатации в ближайшие 30 дней: 9,4% (FIRST EPSS); выше, чем у 95,3% записей.
- Может быть вызвана пользователем с локальным доступом к системе. Достаточно учётной записи с низкими привилегиями. Действия пользователя не требуются. Требуются особые условия, например определённое время или конфигурация.
- Исправленная версия: tomcat9 (Debian:10) 9.0.31-1~deb10u4; tomcat9 (Debian:12) 9.0.43-1; tomcat8 (Debian:9) 8.5.54-0+deb9u6.
- Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 2.
Пока низкий приоритет. Обновитесь до tomcat9 (Debian:10) 9.0.31-1~deb10u4; tomcat9 (Debian:12) 9.0.43-1; tomcat8 (Debian:9) 8.5.54-0+deb9u6 или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
The fix for CVE-2020-9484 was incomplete. When using Apache Tomcat 10.0.0-M1 to 10.0.0, 9.0.0.M1 to 9.0.41, 8.5.0 to 8.5.61 or 7.0.0. to 7.0.107 with a configuration edge case that was highly unlikely to be used, the Tomcat instance was still vulnerable to CVE-2020-9494. Note that both the previously published prerequisites for CVE-2020-9484 and the previously published mitigations for CVE-2020-9484 also apply to this issue.
- Опубликовано
- 1 мар. 2021 г.
- Обновлено
- 8 окт. 2026 г.
- EPSS
- 9,4 % · 95-й процентиль
- CWE
- —
Инструменты для отчёта
Оценка срочности
31
Наблюдать
Пока низкий приоритет.
- CVSS
- 28 / 40 · 7.0 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 3 / 30 · 9,4 %
Решение CISA SSVC
- Эксплуатация
- нет
- Автоматизируемо
- нет
- Техническое влияние
- полное
Vulnrichment: входные данные дерева решений CISA.
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Публичного эксплойта нет
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
У вас WordPress? Проверьте сайт бесплатно в WP Lens
Анализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| apache | tomcat | cpe:2.3:a:apache:tomcat |
| debian | debian linux | cpe:2.3:o:debian:debian_linux |
| oracle | agile product lifecycle management | cpe:2.3:a:oracle:agile_product_lifecycle_management |
| oracle | communications cloud native core policy | cpe:2.3:a:oracle:communications_cloud_native_core_policy |
| oracle | communications cloud native core security edge protection proxy | cpe:2.3:a:oracle:communications_cloud_native_core_security_edge_protection_proxy |
| oracle | communications instant messaging server | cpe:2.3:a:oracle:communications_instant_messaging_server |
| oracle | database | cpe:2.3:a:oracle:database |
| oracle | graph server and client | cpe:2.3:a:oracle:graph_server_and_client |
| oracle | instantis enterprisetrack | cpe:2.3:a:oracle:instantis_enterprisetrack |
| oracle | managed file transfer | cpe:2.3:a:oracle:managed_file_transfer |
| oracle | mysql enterprise monitor | cpe:2.3:a:oracle:mysql_enterprise_monitor |
| oracle | siebel ui framework | cpe:2.3:a:oracle:siebel_ui_framework |
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- apache tomcat7.0.0 и новее · до 7.0.107 включительно
- apache tomcat8.5.0 и новее · до 8.5.61 включительно
- apache tomcat9.0.0 и новее · до 9.0.41 включительно
- apache tomcat10.0.0
- apache tomcat9.0.0
- debian debian linux10.0
- debian debian linux9.0
- oracle agile product lifecycle management9.3.3
- oracle agile product lifecycle management9.3.6
- oracle communications cloud native core policy1.14.0
- oracle communications cloud native core security edge protection proxy1.6.0
- oracle communications instant messaging server10.0.1.5.0
- oracle database12.2.0.1
- oracle database19c
- oracle database21c
- oracle graph server and clientдо 21.3.0
- oracle instantis enterprisetrack17.1
- oracle instantis enterprisetrack17.2
- oracle instantis enterprisetrack17.3
- oracle managed file transfer12.2.1.3.0
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (apache). Не зависят от анализа CPE в NVD и обычно опережают его.
Apache Software Foundation Apache Tomcat
- Apache Tomcat 10 и новее · до 10.0.0затронута
- Apache Tomcat 9 и новее · до 9.0.41затронута
- Apache Tomcat 8.5 и новее · до 8.5.61затронута
- Apache Tomcat 7 и новее · до 7.0.107затронута
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Debian:10 | tomcat9 | до 9.0.31-1~deb10u4 | 9.0.31-1~deb10u4 |
| Debian:12 | tomcat9 | до 9.0.43-1 | 9.0.43-1 |
| Debian:9 | tomcat8 | до 8.5.54-0+deb9u6 | 8.5.54-0+deb9u6 |
| Maven | org.apache.tomcat.embed:tomcat-embed-core | с 10.0.0-M1 · до 10.0.2 | 10.0.2 |
| Maven | org.apache.tomcat.embed:tomcat-embed-core | с 7.0.0 · до 7.0.108 | 7.0.108 |
| Maven | org.apache.tomcat.embed:tomcat-embed-core | с 8.0.0 · до 8.5.61 | 8.5.61 |
| Maven | org.apache.tomcat.embed:tomcat-embed-core | с 9.0.0 · до 9.0.41 | 9.0.41 |
| openSUSE:Leap 15.2 | tomcat | до 9.0.36-lp152.2.22.1 | 9.0.36-lp152.2.22.1 |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-ecj | до 0:4.12.0-3.redhat_2.2.el7jws | 0:4.12.0-3.redhat_2.2.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-mod_cluster | до 0:1.4.3-2.Final_redhat_00002.1.el7jws | 0:1.4.3-2.Final_redhat_00002.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-mod_cluster-tomcat | до 0:1.4.3-2.Final_redhat_00002.1.el7jws | 0:1.4.3-2.Final_redhat_00002.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-admin-webapps | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-docs-webapp | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-el-3.0-api | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-java-jdk11 | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-java-jdk8 | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-javadoc | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-jsp-2.3-api | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-lib | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-native | до 0:1.2.26-3.redhat_3.el7jws | 0:1.2.26-3.redhat_3.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-native-debuginfo | до 0:1.2.26-3.redhat_3.el7jws | 0:1.2.26-3.redhat_3.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-selinux | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
| Red Hat:jboss_enterprise_web_server:5.5::el7 | jws5-tomcat-servlet-4.0-api | до 0:9.0.43-11.redhat_00011.1.el7jws | 0:9.0.43-11.redhat_00011.1.el7jws |
+27
Тот же продукт
apache: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2025-24813Apache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUTKEV99Срочно
- CVE-2016-8735Remote code execution is possible with Apache Tomcat before 6.0.48, 7.x before 7.0.73, 8.x before 8.0.39, 8.5.x before 8.5.7, and 9.x beforeKEV96Срочно
- CVE-2017-12617When running Apache Tomcat versions 9.0.0.M1 to 9.0.0, 8.5.0 to 8.5.22, 8.0.0.RC1 to 8.0.46 and 7.0.0 to 7.0.81 with HTTP PUTs enabled (e.g.KEV92Срочно
- CVE-2017-12615When running Apache Tomcat 7.0.0 to 7.0.79 on Windows with HTTP PUTs enabled (e.g.KEV92Срочно
- CVE-2026-34486Apache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptorKEV62На этой неделе
- CVE-2019-0232When running on Windows with enableCmdLineArguments enabled, the CGI Servlet in Apache Tomcat 9.0.0.M1 to 9.0.17, 8.5.0 to 8.5.39 and 7.0.0 62На этой неделе
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| debian:tomcat8 | 8.5.54-0+deb9u6 · Debian:9 | Реестр пакетов (OSV) |
| debian:tomcat9 | 9.0.43-1 · Debian:12 | Реестр пакетов (OSV) |
| Maven:org.apache.tomcat.embed:tomcat-embed-core | 10.0.2 | Реестр пакетов (OSV) |
| Maven:org.apache.tomcat.embed:tomcat-embed-core | 7.0.108 | Реестр пакетов (OSV) |
| Maven:org.apache.tomcat.embed:tomcat-embed-core | 8.5.61 | Реестр пакетов (OSV) |
| Maven:org.apache.tomcat.embed:tomcat-embed-core | 9.0.41 | Реестр пакетов (OSV) |
| opensuse:tomcat | 9.0.36-lp152.2.22.1 · openSUSE:Leap 15.2 | Реестр пакетов (OSV) |
| red hat:jws5-ecj | 0:4.12.0-3.redhat_2.2.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-mod_cluster | 0:1.4.3-2.Final_redhat_00002.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-mod_cluster-tomcat | 0:1.4.3-2.Final_redhat_00002.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-tomcat | 0:9.0.43-11.redhat_00011.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-tomcat-admin-webapps | 0:9.0.43-11.redhat_00011.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-tomcat-docs-webapp | 0:9.0.43-11.redhat_00011.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-tomcat-el-3.0-api | 0:9.0.43-11.redhat_00011.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-tomcat-java-jdk11 | 0:9.0.43-11.redhat_00011.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-tomcat-java-jdk8 | 0:9.0.43-11.redhat_00011.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-tomcat-javadoc | 0:9.0.43-11.redhat_00011.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-tomcat-jsp-2.3-api | 0:9.0.43-11.redhat_00011.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| red hat:jws5-tomcat-lib | 0:9.0.43-11.redhat_00011.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7 | Реестр пакетов (OSV) |
| suse:tomcat | 9.0.36-3.64.1 · SUSE:OpenStack Cloud 9 | Реестр пакетов (OSV) |
| suse:tomcat6 | 6.0.53-0.57.19.1 · SUSE:Linux Enterprise Point of Sale 11 SP3 | Реестр пакетов (OSV) |
Статус эксплойта
Публичный эксплойт неизвестен
Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
Кроме публикации датированных событий нет.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
- Trung PhamViettel Cyber Security
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
Ночной расчёт связей ничего не нашёл.
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Национальное уведомление (Управление кибербезопасности Турции / USOM)
Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.
- TR-21-0311 · 14 апр. 2021 г.(IBM Güvenlik Bülteni Yayınladı)
- TR-21-0184 · 2 мар. 2021 г.(Apache Tomcat Zafiyeti)
Технические детали
Условия атаки
- Может быть вызвана пользователем с локальным доступом к системе.
- Достаточно учётной записи с низкими привилегиями.
- Действия пользователя не требуются.
- Требуются особые условия, например определённое время или конфигурация.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- высокое · данные или конфигурация могут быть изменены
- Доступность
- высокое · работа сервиса может быть нарушена
- Вектор атаки
- Локальный
- Сложность атаки
- Высокая
- Требуемые привилегии
- Низкие
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Высокое
- Влияние на доступность
- Высокое
Класс уязвимости (CWE)
—
Вектор CVSS
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.
Журнал изменений
- Эксплуатация SSVC— → none
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 16)Свернуть
- lists.apache.org/thread.html/r11ce01e8a4c7269b88f88212f21830edf73558997ac7744f37769b77%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/r732b2ca289dc02df2de820e8775559abd6c207f159e39f559547a085%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/r8a2ac0e476dbfc1e6440b09dcc782d444ad635d6da26f0284725a5dc%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/rb51ccd58b2152fc75125b2406fc93e04ca9d34e737263faa6ff0f41f%40%3Cusers.tomcat.apache.org%3E
- lists.apache.org/thread.html/rf6d5d57b114678d8898005faef31e9fd6d7c981fcc4ccfc3bc272fc9%40%3Cdev.tomcat.apache.org%3E
- lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf%40%3Cannounce.apache.org%3E
- lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf%40%3Cannounce.tomcat.apache.org%3E
- lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf%40%3Cdev.tomcat.apache.org%3E
- lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf%40%3Cusers.tomcat.apache.org%3E
- lists.debian.org/debian-lts-announce/2021/03/msg00018.html
- security.gentoo.org/glsa/202208-34
- security.netapp.com/advisory/ntap-20210409-0002/
- www.debian.org/security/2021/dsa-4891
- www.oracle.com//security-alerts/cpujul2021.html
- www.oracle.com/security-alerts/cpujan2022.html
- www.oracle.com/security-alerts/cpuoct2021.html
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.