📚 Apache Tomcat bis 9.0.0.M13 Error Handler Information Disclosure
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
Es wurde eine problematische Schwachstelle in Apache Tomcat ausgemacht. Dabei betrifft es eine unbekannte Funktion der Komponente Error Handler. Dank Manipulation mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Das hat Auswirkungen auf die Vertraulichkeit.
Die Schwachstelle wurde am 12.12.2016 von Tomcat Security Team als [SECURITY] CVE-2016-8745 Apache Tomcat Information Disclosure in Form eines bestätigten Mailinglist Posts (Bugtraq) publik gemacht. Das Advisory kann von seclists.org heruntergeladen werden. Die Veröffentlichung geschah dabei in Koordination mit dem Hersteller. Die Verwundbarkeit wird unter CVE-2016-8745 geführt. Der Angriff kann über das Netzwerk erfolgen. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet.
Ein Upgrade auf die Version 8.5.9, 9.0.0.M14 oder 9.0.0.M15 vermag dieses Problem zu beheben.
Weitere Informationen werden unter bz.apache.org bereitgestellt.
CVSSv3
Base Score: ≈4.3 [?]Temp Score: ≈4.1 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:X/RL:O/RC:C [?]
Zuverlässigkeit: Medium
CVSSv2
Base Score: ≈3.5 (CVSS2#AV:N/AC:M/Au:S/C:P/I:N/A:N) [?]Temp Score: ≈3.0 (CVSS2#E:ND/RL:OF/RC:C) [?]
Zuverlässigkeit: Medium
CPE
- cpe:/a:apache:tomcat:8.5.0
- cpe:/a:apache:tomcat:8.5.1
- cpe:/a:apache:tomcat:8.5.2
- cpe:/a:apache:tomcat:8.5.3
- cpe:/a:apache:tomcat:8.5.4
- cpe:/a:apache:tomcat:8.5.5
- cpe:/a:apache:tomcat:8.5.6
- cpe:/a:apache:tomcat:8.5.7
- cpe:/a:apache:tomcat:8.5.8
- cpe:/a:apache:tomcat:9.0.0.m1
- cpe:/a:apache:tomcat:9.0.0.m2
- cpe:/a:apache:tomcat:9.0.0.m3
- cpe:/a:apache:tomcat:9.0.0.m4
- cpe:/a:apache:tomcat:9.0.0.m5
- cpe:/a:apache:tomcat:9.0.0.m6
- cpe:/a:apache:tomcat:9.0.0.m7
- cpe:/a:apache:tomcat:9.0.0.m8
- cpe:/a:apache:tomcat:9.0.0.m9
- cpe:/a:apache:tomcat:9.0.0.m10
- cpe:/a:apache:tomcat:9.0.0.m11
- cpe:/a:apache:tomcat:9.0.0.m12
- cpe:/a:apache:tomcat:9.0.0.m13
Exploiting
Klasse: Information DisclosureLokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)
Gegenmassnahmen
Empfehlung: UpgradeStatus: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: Tomcat 8.5.9/9.0.0.M14/9.0.0.M15
Timeline
12.12.2016 Advisory veröffentlicht12.12.2016 VulDB Eintrag erstellt
12.12.2016 VulDB letzte Aktualisierung
Quellen
Advisory: [SECURITY] CVE-2016-8745 Apache Tomcat Information DisclosureFirma: Tomcat Security Team
Status: Bestätigt
Koordiniert: Ja
CVE: CVE-2016-8745 (mitre.org) (nvd.nist.org) (cvedetails.com)
Diverses: bz.apache.org
Eintrag
Erstellt: 12.12.2016Eintrag: 69.6% komplett
...