Was ist das Problem
Ein Angreifer kann über eine speziell gestaltete Anfrage eine JSP-Datei auf den Server hochladen. Nach dem Hochladen kann der Angreifer die JSP-Datei anfordern, um beliebigen Code auf dem Server auszuführen.
Wer ist betroffen
Diese Schwachstelle betrifft Apache Tomcat-Versionen 7.0.0 bis vor 7.0.82, 8.0 bis vor 8.0.47, 8.5.0 bis vor 8.5.23 und 9.0.0 bis vor 9.0.1.
Was zu tun ist
Wenden Sie Aktualisierungen gemäß den Anweisungen des Herstellers an, indem Sie auf Apache Tomcat 7.0.82, 8.0.47, 8.5.23, 9.0.1 oder neuer aktualisieren.
Originalbeschreibung
When running Apache Tomcat versions 9.0.0.M1 to 9.0.0, 8.5.0 to 8.5.22, 8.0.0.RC1 to 8.0.46 and 7.0.0 to 7.0.81 with HTTP PUTs enabled (e.g. via setting the readonly initialisation parameter of the Default servlet to false) it was possible to upload a JSP file to the server via a specially crafted request. This JSP could then be requested and any code it contained would be executed by the server.
Bekanntermaßen ausgenutzt (CISA KEV)
- Zu KEV hinzugefügt
- 2022-03-25
- Behebungsfrist (US-Bundesbehörden)
- 2022-04-15
- Einsatz durch Ransomware
- Unknown
- Erforderliche Maßnahme
- Apply updates per vendor instructions.
Betroffene Software
- Tomcat ≥ 8.5.0 < 8.5.23≥ 8.0 < 8.0.47≥ 7.0.0 < 7.0.82≥ 9.0.0 < 9.0.1 Behoben in: 8.5.23, 8.0.47, 7.0.82, 9.0.1 exakte Übereinstimmung
Details
- Veröffentlicht
- 2017-10-04
- Zuletzt geändert
- 2025-10-22
- CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H- EPSS (Ausnutzungswahrscheinlichkeit in 30 Tagen)
- 99.97% (Perzentil 100)
Referenzen
- cve.org/CVE-2017-12617
- nvd.nist.gov/vuln/detail/CVE-2017-12617
- access.redhat.com/errata/RHSA-2017:3113
- www.oracle.com/technetwork/security-advisory/cpujul2018-4258247.html
- www.oracle.com/technetwork/security-advisory/cpujan2018-3236628.html
- access.redhat.com/errata/RHSA-2017:3080
- support.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbux03828en_us
- access.redhat.com/errata/RHSA-2018:0269
- www.exploit-db.com/exploits/42966/
- support.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbhf03812en_us
- access.redhat.com/errata/RHSA-2018:0270
- access.redhat.com/errata/RHSA-2018:0271
- lists.debian.org/debian-lts-announce/2017/11/msg00009.html
- access.redhat.com/errata/RHSA-2018:2939
Verfolgen Sie diese Versionen auf Ihren eigenen Servern
InfraGuard erfasst die installierten Softwareversionen auf jedem Server und markiert diejenigen mit bekannten Schwachstellen. Self-Hosted – nichts verlässt Ihr Netzwerk.
Dieses Produkt verwendet Daten der NVD-API, ist jedoch nicht von der NVD empfohlen oder zertifiziert. CVE® ist eine eingetragene Marke von The MITRE Corporation; CVE-Datensätze werden gemäß den Nutzungsbedingungen des CVE Program verwendet.