CVE-2019-0232
Açıklama
enableCmdLineArguments etkinleştirilmiş şekilde Windows üzerinde çalışırken; Apache Tomcat 9.0.0.M1 ile 9.0.17, 8.5.0 ile 8.5.39 ve 7.0.0 ile 7.0.93 sürümlerindeki CGI Servlet, JRE'nin komut satırı argümanlarını Windows'a iletme biçimindeki bir hata nedeniyle uzaktan kod çalıştırmaya karşı savunmasızdır. CGI Servlet varsayılan olarak devre dışıdır. CGI seçeneği olan enableCmdLineArguments, Tomcat 9.0.x sürümünde varsayılan olarak devre dışıdır (ve bu güvenlik açığına yanıt olarak tüm sürümlerde varsayılan olarak devre dışı bırakılacaktır). JRE davranışının ayrıntılı açıklaması için Markus Wulftange'nin bloğuna (https://codewhitesec.blogspot.com/2016/02/java-and-command-line-injections-in-windows.html) ve şu arşivlenmiş MSDN bloğuna (https://web.archive.org/web/20161228144344/https://blogs.msdn.microsoft.com/twistylittlepassagesallalike/2011/04/23/everyone-quotes-command-line-arguments-the-wrong-way/) bakınız.
Nasıl düzeltilir
- org.apache.tomcat.embed:tomcat-embed-core9.0.17, 8.5.40, 7.0.94 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache tomcat | 7.0.0 ≤ v ≤ 7.0.93, 8.5.0 ≤ v ≤ 8.5.39, 9.0.1 ≤ v ≤ 9.0.17, 9.0.0 | — |
| org.apache.tomcat.embed:tomcat-embed-coreMaven | 9.0.0.M1 ≤ v < 9.0.17, 8.0.0 ≤ v < 8.5.40, 7.0.0 ≤ v < 7.0.94 | 9.0.17, 8.5.40, 7.0.94 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.