NVD / CVE Programı· CNA apache

CVE-2017-5647: A bug in the handling of the pipelined requests in Apache Tomcat 9.0.0.M1 to 9.0.0.M18, 8.5.0 to 8.5.12, 8.0.0.RC1 to 8.0.42, 7.0.0 to…

YüksekCVSS 7.5 · v3.0—İstismar yok Düzeltme var

Noroxi değerlendirmesi

Öncelik: İzleyin (aksiyon skoru 35/100)

İzlediğimiz kaynaklarda (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) herkese açık istismar kodu ya da sahada sömürü kaydı yok.
Önümüzdeki 30 günde sömürülme olasılığı %16,8 (FIRST EPSS); kayıtların %97 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
Düzeltilmiş sürüm: tomcat7 (Debian:7) 7.0.28-4+deb7u12; tomcat7 (Debian:8) 7.0.56-3+deb8u10; tomcat8 (Debian:8) 8.0.14-1+deb8u9.

Şimdilik düşük öncelik. tomcat7 (Debian:7) 7.0.28-4+deb7u12; tomcat7 (Debian:8) 7.0.56-3+deb8u10; tomcat8 (Debian:8) 8.0.14-1+deb8u9 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · FIRST EPSS

A bug in the handling of the pipelined requests in Apache Tomcat 9.0.0.M1 to 9.0.0.M18, 8.5.0 to 8.5.12, 8.0.0.RC1 to 8.0.42, 7.0.0 to 7.0.76, and 6.0.0 to 6.0.52, when send file was used, results in the pipelined request being lost when send file processing of the previous request completed. This could result in responses appearing to be sent for the wrong request. For example, a user agent that sent requests A, B and C could see the correct response for request A, the response for request C for request B and no response for request C.

Yayın: 17 Nis 2017
Güncelleme: 2 Kas 2026
EPSS: %16,8 · 97. yüzdelik
CWE: CWE-200

Rapor araçları

JSON

Aksiyon skoru

İzleyin

Şimdilik düşük öncelik.

CVSS: 30 / 40 · 7.5 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 5 / 30 · %16,8

CISA SSVC kararı

Sömürü: yok
Otomatikleştirilebilir: hayır
Teknik etki: kısmi

Vulnrichment: CISA'nın karar ağacı girdileri.

Bu kayıt değişirse haber alın

KEV'de değil: sahada sömürü kaydı yok
Herkese açık istismar kodu kaydı yok
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
apache	tomcat	cpe:2.3:a:apache:tomcat

Üreticinin bildirdiği sürümler

Kaydı açan otorite (apache) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

Apache Software Foundation Apache Tomcat
- 9.0.0.M1 to 9.0.0.M18, 8.5.0 to 8.5.12, 8.0.0.RC1 to 8.0.42, 7.0.0 to 7.0.76, 6.0.0 to 6.0.52etkilenir

Etkilenen sürümler · NVD (20)

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

apache tomcat6.0.0
apache tomcat6.0.1
apache tomcat6.0.10
apache tomcat6.0.11
apache tomcat6.0.12
apache tomcat6.0.13
apache tomcat6.0.14
apache tomcat6.0.15
apache tomcat6.0.16
apache tomcat6.0.17
apache tomcat6.0.18
apache tomcat6.0.19
apache tomcat6.0.2
apache tomcat6.0.20
apache tomcat6.0.21
apache tomcat6.0.22
apache tomcat6.0.23
apache tomcat6.0.24
apache tomcat6.0.25
apache tomcat6.0.26

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Ekosistem	Paket	Etkilenen aralık	Düzeltme
Debian:7	tomcat7	7.0.28-4+deb7u12 öncesi	7.0.28-4+deb7u12
Debian:8	tomcat7	7.0.56-3+deb8u10 öncesi	7.0.56-3+deb8u10
Debian:8	tomcat8	8.0.14-1+deb8u9 öncesi	8.0.14-1+deb8u9
Maven	org.apache.tomcat:tomcat	6.0.0 itibarıyla · 6.0.53 öncesi	6.0.53
Maven	org.apache.tomcat:tomcat	7.0.0 itibarıyla · 7.0.77 öncesi	7.0.77
Maven	org.apache.tomcat:tomcat	8.0.0 itibarıyla · 8.0.43 öncesi	8.0.43
Maven	org.apache.tomcat:tomcat	8.5.0 itibarıyla · 8.5.13 öncesi	8.5.13
Maven	org.apache.tomcat:tomcat	9.0.0.M1 itibarıyla · 9.0.0.M19 öncesi	9.0.0.M19
openSUSE:Tumbleweed	tomcat	9.0.36-8.4 öncesi	9.0.36-8.4
openSUSE:Tumbleweed	tomcat10	10.1.14-1.1 öncesi	10.1.14-1.1
Red Hat:enterprise_linux:6::client	tomcat6	0:6.0.24-111.el6_9 öncesi	0:6.0.24-111.el6_9
Red Hat:enterprise_linux:6::client	tomcat6-admin-webapps	0:6.0.24-111.el6_9 öncesi	0:6.0.24-111.el6_9
Red Hat:enterprise_linux:6::client	tomcat6-docs-webapp	0:6.0.24-111.el6_9 öncesi	0:6.0.24-111.el6_9
Red Hat:enterprise_linux:6::client	tomcat6-el-2.1-api	0:6.0.24-111.el6_9 öncesi	0:6.0.24-111.el6_9
Red Hat:enterprise_linux:6::client	tomcat6-javadoc	0:6.0.24-111.el6_9 öncesi	0:6.0.24-111.el6_9
Red Hat:enterprise_linux:6::client	tomcat6-jsp-2.1-api	0:6.0.24-111.el6_9 öncesi	0:6.0.24-111.el6_9
Red Hat:enterprise_linux:6::client	tomcat6-lib	0:6.0.24-111.el6_9 öncesi	0:6.0.24-111.el6_9
Red Hat:enterprise_linux:6::client	tomcat6-servlet-2.5-api	0:6.0.24-111.el6_9 öncesi	0:6.0.24-111.el6_9
Red Hat:enterprise_linux:6::client	tomcat6-webapps	0:6.0.24-111.el6_9 öncesi	0:6.0.24-111.el6_9
Red Hat:enterprise_linux:7::client	tomcat	0:7.0.76-3.el7_4 öncesi	0:7.0.76-3.el7_4
Red Hat:enterprise_linux:7::client	tomcat-admin-webapps	0:7.0.76-3.el7_4 öncesi	0:7.0.76-3.el7_4
Red Hat:enterprise_linux:7::client	tomcat-docs-webapp	0:7.0.76-3.el7_4 öncesi	0:7.0.76-3.el7_4
Red Hat:enterprise_linux:7::client	tomcat-el-2.2-api	0:7.0.76-3.el7_4 öncesi	0:7.0.76-3.el7_4
Red Hat:enterprise_linux:7::client	tomcat-javadoc	0:7.0.76-3.el7_4 öncesi	0:7.0.76-3.el7_4

+96

Aynı üründe

apache: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2025-24813Apache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUTKEV
99Hemen
CVE-2016-8735Remote code execution is possible with Apache Tomcat before 6.0.48, 7.x before 7.0.73, 8.x before 8.0.39, 8.5.x before 8.5.7, and 9.x…KEV
96Hemen
CVE-2017-12617When running Apache Tomcat versions 9.0.0.M1 to 9.0.0, 8.5.0 to 8.5.22, 8.0.0.RC1 to 8.0.46 and 7.0.0 to 7.0.81 with HTTP PUTs enabled (e.g.KEV
92Hemen

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2017-565017 Nis 2017 · In Apache Tomcat 9.0.0.M1 to 9.0.0.M18 and 8.5.0 to 8.5.12, the handling of an HTTP/2 GOAWAY frame for a connection did not close streams…
32İzleyin
← ÖncekiCVE-2017-565117 Nis 2017 · In Apache Tomcat 9.0.0.M1 to 9.0.0.M18 and 8.5.0 to 8.5.12, the refactoring of the HTTP connectors introduced a regression in the send file…
41Planlayın
Sonraki →CVE-2017-564817 Nis 2017 · While investigating bug 60718, it was noticed that some calls to application listeners in Apache Tomcat 9.0.0.M1 to 9.0.0.M17, 8.5.0 to 8.5.
40Planlayın

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
debian:tomcat7	7.0.28-4+deb7u12 · Debian:7	Paket deposu (OSV)
debian:tomcat8	8.0.14-1+deb8u9 · Debian:8	Paket deposu (OSV)
Maven:org.apache.tomcat:tomcat	6.0.53	Paket deposu (OSV)
Maven:org.apache.tomcat:tomcat	7.0.77	Paket deposu (OSV)
Maven:org.apache.tomcat:tomcat	8.0.43	Paket deposu (OSV)
Maven:org.apache.tomcat:tomcat	8.5.13	Paket deposu (OSV)
Maven:org.apache.tomcat:tomcat	9.0.0.M19	Paket deposu (OSV)
opensuse:tomcat	9.0.36-8.4 · openSUSE:Tumbleweed	Paket deposu (OSV)
opensuse:tomcat10	10.1.14-1.1 · openSUSE:Tumbleweed	Paket deposu (OSV)
red hat:log4j-eap6	0:1.2.16-12.redhat_3.1.ep6.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat-native	0:1.2.8-10.redhat_10.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat-native-debuginfo	0:1.2.8-10.redhat_10.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat7	0:7.0.70-22.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat7-admin-webapps	0:7.0.70-22.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat7-docs-webapp	0:7.0.70-22.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat7-el-2.2-api	0:7.0.70-22.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat7-javadoc	0:7.0.70-22.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat7-jsp-2.2-api	0:7.0.70-22.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat7-jsvc	0:7.0.70-22.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat7-lib	0:7.0.70-22.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
red hat:tomcat7-log4j	0:7.0.70-22.ep7.el6 · Red Hat:jboss_enterprise_web_server:3.1::el6	Paket deposu (OSV)
suse:tomcat	8.0.43-23.1 · SUSE:Linux Enterprise Server for Raspberry Pi 12 SP2	Paket deposu (OSV)
suse:tomcat6	6.0.53-0.56.1 · SUSE:Linux Enterprise Point of Sale 11 SP3	Paket deposu (OSV)

İstismar durumu

Bilinen kamuya açık istismar yok

Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

Yayın dışında tarihli olay yok.

Bu kayıtta yok: EPSS geçmişi · yama commit'i ya da PR bağlantısı · araştırmacı kredisi · varyant ya da zincir adayı · herkese açık ödül programı.

Teknik detay

Saldırı koşulları

İnternetten erişebilen herkes tetikleyebilir.
Hesap ya da parola gerekmez.
Kullanıcının bir şey yapması gerekmez.
Özel bir koşul gerekmez; tekrarlanabilir.

Başarılı olursa

Gizlilik: yüksek · veriler okunabilir
Bütünlük: yok
Erişilebilirlik: yok

Saldırı vektörü: Ağ
Karmaşıklık: Düşük
Gereken yetki: Yok
Kullanıcı etkileşimi: Gerekmez
Kapsam: Değişmez
Gizlilik etkisi: Yüksek
Bütünlük etkisi: Yok
Erişilebilirlik etkisi: Yok

Zayıflık sınıfı (CWE)

CWE-200 · Exposure of Sensitive Information to an Unauthorized Actor

CVSS vektörü

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

nvd-primary

Kök neden

Eklenti işlevi için gerekenden geniş izin istiyor ve topladığı veriyi amacı dışında dışarı gönderiyor.

Hatanın kod karşılığı

CWE-200 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

json

1{
2  "permissions": ["tabs", "<all_urls>"],
3  "background": { "service_worker": "analytics.js" }
4}

Düzeltilmiş

json

1{
2  "permissions": ["activeTab"],
3  "host_permissions": ["https://yildiz.example/*"]
4}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Saldırı desenleri (CAPEC)

ATT&CK teknikleri

Değişiklik günlüğü (2)

SSVC sömürü— → none2 Kas 2026 19:07 UTC
Düzeltme✗ → ✓28 Eyl 2026 22:46 UTC

Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →

Referanslar

www.arubanetworks.com/assets/alert/HPESBHF03730.txt

Tüm referansları göster (19 daha)

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar