Apache Tomcat: Schwachstelle ermöglicht Denial of Service
WID-SEC-2022-0467 · première publication 12.05.2022 · mise à jour 26.01.2026 · CVSS 9,8
De quoi il s’agit
Apache Tomcat ist ein Web-Applikationsserver für verschiedene Plattformen. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache Tomcat ausnutzen, um einen Denial of Service Angriff durchzuführen.
Dans quelles conditions ?
Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- einen Denial of Service Angriff durchzuführen
Suis-je concerné ?
Concernés selon le BSI :
- Avaya one-X
- Debian Linux
- Amazon Linux 2
- Ubuntu Linux
- Oracle Solaris
- Avaya Aura Application Enablement Services
- Avaya Aura Experience Portal
- IBM Spectrum Protect Plus 10.1
- IBM QRadar SIEM 7.5
- Apache Tomcat <10.0.21
- Apache Tomcat <9.0.63
- Apache Tomcat <8.5.79
et 2 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Apache Tomcat 10.0.21
- Apache Tomcat 9.0.63
- Apache Tomcat 8.5.79
- Dell Data Protection Advisor 19.12
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Apache Tomcat Mailing List vom 2022-05-11 lists.apache.org
- AVAYA Security Advisory ASA-2022-075 vom 2022-06-24 downloads.avaya.com
- Amazon Linux Security Advisory ALAS-2022-1627 vom 2022-08-05 alas.aws.amazon.com
- Oracle Solaris Third Party Bulletin-October 2022 vom 2022-10-18 www.oracle.com
- IBM Security Bulletin 6831855 vom 2022-10-26 www.ibm.com
- Debian Security Advisory DLA-3160 vom 2022-10-26 lists.debian.org
- Debian Security Advisory DSA-5265 vom 2022-10-30 lists.debian.org
- Exploit-DB #51262 vom 2023-04-05 www.exploit-db.com
- Amazon Linux Security Advisory ALASTOMCAT8.5-2023-005 vom 2023-09-27 alas.aws.amazon.com
- IBM Security Bulletin 7144861 vom 2024-03-20 www.ibm.com
- Ubuntu Security Notice USN-6943-1 vom 2024-08-01 ubuntu.com
- Deell Security Update www.dell.com
CVE: CVE-2022-29885
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.