Apache Tomcat corrige importantes vulnerabilidades de segurança.
Proteção de Dados – A Apache Software Foundation (ASF) lançou atualizações de segurança para resolver várias vulnerabilidades em seu servidor de aplicativos Apache Tomcat, sendo que uma das quais poderia permitir que um invasor remoto obtivesse informações confidenciais.
O Apache Tomcat é um sistema de servlet e servidor da Web de software livre, que usa diversas especificações Java EE como Java Servlet, JSP (JavaServer Pages), Expression Language e WebSocket, e fornece um ambiente de servidor da Web HTTP “puro Java” para execução do conceito Java no.
Ao contrário de vulnerabilidades Apache Struts2 explorados para violar os sistemas da América do crédito relatórios agência Equifax final do ano passado, novas vulnerabilidades Apache Tomcat são menos propensos a ser explorado na natureza.
Apache Tomcat – Vulnerabilidade de divulgação de informações
A falha mais crítica ( CVE-2018-8037 ) de todos no Apache Tomcat é uma vulnerabilidade de divulgação de informações causada por um erro no rastreamento de encerramentos de conexão, que pode levar à reutilização de sessões do usuário em uma nova conexão.
A vulnerabilidade, marcada como importante, foi relatada à equipe de segurança do Apache Tomcat por Dmitry Treskunov em 16 de junho de 2018 e tornada pública em 22 de julho de 2018.
A falha afeta as versões 9.0.0.M9 a 9.0.9 e 8.5.5 a 8.5 do Tomcat .31, e foi corrigido no Tomcat 9.0.10 e 8.5.32.
Apache Tomcat – Vulnerabilidade de negação de serviço (DoS)
Outra vulnerabilidade importante, rastreada como CVE-2018-1336 , no Apache Tomcat reside no decodificador UTF-8 que pode levar a uma condição de negação de serviço (DoS).
“Um manuseio incorreto de transbordamento no decodificador UTF-8 com caracteres suplementares pode levar a um loop infinito no decodificador causando uma negação de serviço“, diz a Apache Software Foundation em seu comunicado.
Atualizações de software do servidor Apache Tomcat (patches)
A vulnerabilidade afeta as versões do Tomcat 7.0.x, 8.0.x, 8.5.xe 9.0.x e foi tratada nas versões 9.0.7, 8.5.32, 8.0.52 e 7.0.90 do Tomcat.
A Apache Software Foundation também incluiu um patch de segurança nas versões mais recentes do Tomcat para solucionar um erro de bypass de restrições de segurança de baixa severidade ( CVE-2018-8034 ), que ocorre devido à falta da verificação do nome do host ao usar o TLS com o cliente WebSocket.
É altamente recomendável que os administradores apliquem as atualizações de software o mais rápido possível e são aconselhados a permitir que apenas usuários confiáveis tenham acesso à rede e monitorem os sistemas afetados.
A Apache Software Foundation diz que não detectou nenhum incidente da exploração de uma dessas vulnerabilidades do Apache Tomcat no mundo.
Um invasor remoto pode explorar uma dessas vulnerabilidades para obter informações confidenciais.
Veja Mais:
- Monitoramento Contínuo de Segurança da Informação para combate a ameaças contínuas.
- Livro – Como Tomcat Funciona
Tem algo a dizer sobre este artigo? Comente abaixo ou compartilhe em seu Facebook, Twitter ou LinkedIn.