CVE-2016-0763
Açıklama
Apache Tomcat 7.x'in 7.0.68 öncesi, 8.x'in 8.0.31 öncesi ve 9.x'in 9.0.0.M3 öncesi sürümlerindeki org/apache/naming/factory/ResourceLinkFactory.java dosyasında bulunan setGlobalContext metodu, ResourceLinkFactory.setGlobalContext çağrıcılarının yetkili olup olmadığını değerlendirmemektedir; bu durum, uzaktan kimliği doğrulanmış kullanıcıların, özel olarak hazırlanmış bir global bağlam ayarlayan bir web uygulaması aracılığıyla hedeflenen SecurityManager kısıtlamalarını atlatmasına ve rastgele uygulama verilerini okumasına veya yazmasına ya da hizmet reddine (uygulama kesintisi) neden olmasına olanak tanır.
Nasıl düzeltilir
- org.apache.tomcat:tomcat7.0.68, 8.0.32, 9.0.0.M3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache tomcat | 7.0.0, 7.0.2, 7.0.4, 7.0.5, 7.0.6, 7.0.10, 7.0.11, 7.0.12, 7.0.14, 7.0.16, 7.0.19, 7.0.20, 7.0.21, 7.0.22, 7.0.23, 7.0.25, 7.0.26, 7.0.27, 7.0.28, 7.0.29, 7.0.30, 7.0.32, 7.0.33, 7.0.34, 7.0.35, 7.0.37, 7.0.39, 7.0.40, 7.0.41, 7.0.42, 7.0.47, 7.0.50, 7.0.52, 7.0.53, 7.0.54, 7.0.55, 7.0.56, 7.0.57, 7.0.59, 7.0.61, 7.0.62, 7.0.63, 7.0.64, 7.0.65, 7.0.67, 8.0.0, 8.0.1, 8.0.3, 8.0.11, 8.0.12, 8.0.14, 8.0.15, 8.0.17, 8.0.18, 8.0.20, 8.0.21, 8.0.22, 8.0.23, 8.0.24, 8.0.26, 8.0.27, 8.0.28, 8.0.29, 8.0.30, 9.0.0 | — |
| debian debian_linux | 7.0, 8.0 | — |
| canonical ubuntu_linux | 12.04, 14.04, 15.10, 16.04 | — |
| org.apache.tomcat:tomcatMaven | 7.0.0 ≤ v < 7.0.68, 8.0.0 ≤ v < 8.0.32, 9.0.0M1 ≤ v < 9.0.0.M3 | 7.0.68, 8.0.32, 9.0.0.M3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.