NVD / CVE Program· CNA apache

CVE-2021-41079: Apache Tomcat DoS with unexpected TLS packet

ВысокаяCVSS 7.5 · v3.1—Эксплойта нет Есть исправление

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 32/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 7,1% (FIRST EPSS); выше, чем у 94,3% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Исправленная версия: tomcat9 (Debian:10) 9.0.31-1~deb10u6; tomcat9 (Debian:11) 9.0.43-2~deb11u2; tomcat9 (Debian:12) 9.0.53-1.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.

Пока низкий приоритет. Обновитесь до tomcat9 (Debian:10) 9.0.31-1~deb10u6; tomcat9 (Debian:11) 9.0.43-2~deb11u2; tomcat9 (Debian:12) 9.0.53-1 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Apache Tomcat 8.5.0 to 8.5.63, 9.0.0-M1 to 9.0.43 and 10.0.0-M1 to 10.0.2 did not properly validate incoming TLS packets. When Tomcat was configured to use NIO+OpenSSL or NIO2+OpenSSL for TLS, a specially crafted packet could be used to trigger an infinite loop resulting in a denial of service.

Опубликовано: 16 сент. 2021 г.
Обновлено: 8 окт. 2026 г.
EPSS: 7,1 % · 94-й процентиль
CWE: CWE-20

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 30 / 40 · 7.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 2 / 30 · 7,1 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: да
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
apache	tomcat	cpe:2.3:a:apache:tomcat
debian	debian linux	cpe:2.3:o:debian:debian_linux
netapp	management services for element software and netapp hci	cpe:2.3:a:netapp:management_services_for_element_software_and_netapp_hci

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (apache). Не зависят от анализа CPE в NVD и обычно опережают его.

Apache Software Foundation Apache Tomcat
- Apache Tomcat 8.5 8.5.0 to 8.5.63, Apache Tomcat 9 9.0.0-M1 to 9.0.43, Apache Tomcat 10 10.0.0-M1 to 10.0.2затронута

Затронутые версии · NVD (7)

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

apache tomcat9.0.0 и новее · до 9.0.44
apache tomcat10.0.0 и новее · до 10.0.2 включительно
apache tomcat8.5.0 и новее · до 8.5.64
debian debian linux10.0
debian debian linux11.0
debian debian linux9.0
netapp management services for element software and netapp hciвсе версии

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Debian:10	tomcat9	до 9.0.31-1~deb10u6	9.0.31-1~deb10u6
Debian:11	tomcat9	до 9.0.43-2~deb11u2	9.0.43-2~deb11u2
Debian:12	tomcat9	до 9.0.53-1	9.0.53-1
Debian:9	tomcat8	до 8.5.54-0+deb9u8	8.5.54-0+deb9u8
Maven	org.apache.tomcat:tomcat	с 10.0.0 · до 10.0.4	10.0.4
Maven	org.apache.tomcat:tomcat	с 8.5.0 · до 8.5.64	8.5.64
Maven	org.apache.tomcat:tomcat	с 9.0.0 · до 9.0.44	9.0.44
openSUSE:Leap 15.2	tomcat	до 9.0.36-lp152.2.25.1	9.0.36-lp152.2.25.1
openSUSE:Leap 15.3	tomcat	до 9.0.36-13.1	9.0.36-13.1
openSUSE:Tumbleweed	tomcat	до 9.0.43-2.1	9.0.43-2.1
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-admin-webapps	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-docs-webapp	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-el-3.0-api	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-java-jdk11	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-java-jdk8	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-javadoc	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-jsp-2.3-api	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-lib	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-selinux	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-servlet-4.0-api	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el7	jws5-tomcat-webapps	до 0:9.0.43-13.redhat_00013.1.el7jws	0:9.0.43-13.redhat_00013.1.el7jws
Red Hat:jboss_enterprise_web_server:5.5::el8	jws5-tomcat	до 0:9.0.43-13.redhat_00013.1.el8jws	0:9.0.43-13.redhat_00013.1.el8jws
Red Hat:jboss_enterprise_web_server:5.5::el8	jws5-tomcat-admin-webapps	до 0:9.0.43-13.redhat_00013.1.el8jws	0:9.0.43-13.redhat_00013.1.el8jws

+14

Тот же продукт

apache: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2025-24813Apache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUTKEV
99Срочно
CVE-2016-8735Remote code execution is possible with Apache Tomcat before 6.0.48, 7.x before 7.0.73, 8.x before 8.0.39, 8.5.x before 8.5.7, and 9.x…KEV
96Срочно
CVE-2017-12617When running Apache Tomcat versions 9.0.0.M1 to 9.0.0, 8.5.0 to 8.5.22, 8.0.0.RC1 to 8.0.46 and 7.0.0 to 7.0.81 with HTTP PUTs enabled (e.g.KEV
92Срочно

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2021-3064012 июл. 2021 г. · Auth weakness in JNDIRealm
29Наблюдать
← РаньшеCVE-2021-3303712 июл. 2021 г. · Incorrect Transfer-Encoding handling with HTTP/1.0
43В плане
Позже →CVE-2021-4234014 окт. 2021 г. · DoS via memory leak with WebSocket connections
34Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
debian:tomcat8	8.5.54-0+deb9u8 · Debian:9	Реестр пакетов (OSV)
debian:tomcat9	9.0.53-1 · Debian:12	Реестр пакетов (OSV)
Maven:org.apache.tomcat:tomcat	10.0.4	Реестр пакетов (OSV)
Maven:org.apache.tomcat:tomcat	8.5.64	Реестр пакетов (OSV)
Maven:org.apache.tomcat:tomcat	9.0.44	Реестр пакетов (OSV)
opensuse:tomcat	9.0.36-lp152.2.25.1 · openSUSE:Leap 15.2	Реестр пакетов (OSV)
red hat:jws5-tomcat	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-admin-webapps	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-docs-webapp	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-el-3.0-api	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-java-jdk11	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-java-jdk8	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-javadoc	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-jsp-2.3-api	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-lib	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-selinux	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-servlet-4.0-api	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
red hat:jws5-tomcat-webapps	0:9.0.43-13.redhat_00013.1.el7jws · Red Hat:jboss_enterprise_web_server:5.5::el7	Реестр пакетов (OSV)
suse:javapackages-tools	2.0.1-13.1 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:tomcat	9.0.36-3.71.1 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.