Apache · Tomcat
CVE-2017-12617
Apache Tomcat Remote Code Execution Vulnerability
Что это
When running Apache Tomcat versions 9.0.0.M1 to 9.0.0, 8.5.0 to 8.5.22, 8.0.0.RC1 to 8.0.46 and 7.0.0 to 7.0.81 with HTTP PUTs enabled (e.g. via setting the readonly initialisation parameter of the Default servlet to false) it was possible to upload a JSP file to the server via a specially crafted request. This JSP could then be requested and any code it contained would be executed by the server.
CISA: When running Apache Tomcat, it is possible to upload a JSP file to the server via a specially crafted request. This JSP could then be requested and any code it contained would be executed by the server.
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 15 апреля 2022 г.
- Добавлена в список CISA
- 25 марта 2022 г.
- Опубликована
- 3 октября 2017 г.
- Серьёзность
- Высокий 8,1 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- >99,9% в верхних 0,1% всех известных уязвимостей
- Тип слабости
- CWE-434
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (20)
- https://access.redhat.com/errata/RHSA-2017:3113
- https://access.redhat.com/errata/RHSA-2017:3080
- https://access.redhat.com/errata/RHSA-2018:0269
- https://access.redhat.com/errata/RHSA-2018:0270
- https://access.redhat.com/errata/RHSA-2018:0271
- https://access.redhat.com/errata/RHSA-2018:2939
- https://access.redhat.com/errata/RHSA-2018:0465
- https://usn.ubuntu.com/3665-1/
- https://access.redhat.com/errata/RHSA-2018:0268
- https://access.redhat.com/errata/RHSA-2017:3114
- http://www.oracle.com/technetwork/security-advisory/cpujul2018-4258247.html
- http://www.oracle.com/technetwork/security-advisory/cpujan2018-3236628.html
- https://support.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbux03828en_us
- https://www.exploit-db.com/exploits/42966/
- https://support.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbhf03812en_us
- https://lists.debian.org/debian-lts-announce/2017/11/msg00009.html
- http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html
- https://www.exploit-db.com/exploits/43008/
- http://www.securitytracker.com/id/1039552
- http://www.securityfocus.com/bid/100954
Другие эксплуатируемые уязвимости Apache
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 4 авг. 2026 г. | Missing Encryption of Sensitive Data | Tomcat | Высокий 7,5 | 99% |
| 1 апр. 2025 г. | Path Equivalence | Tomcat | Критическая 10,0 | 99,9% |
| 12 мая 2023 г. | Remote Code Execution | Tomcat | Критическая 9,8 | 90% |
| 25 мар. 2022 г. | on Windows Remote Code Execution | Tomcat | Высокий 8,1 | 99,7% |
| 3 мар. 2022 г. | Improper Privilege Management | Tomcat | Критическая 9,8 | 99,3% |
| 8 окт. 2026 г. | Command Injection | Struts | Высокий 8,1 | 97% |
| 16 апр. 2026 г. | Improper Input Validation | ActiveMQ | Высокий 8,8 | 98% |
| 1 мая 2025 г. | Improper Escaping of Output | HTTP Server | Критическая 9,1 | >99,9% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.