Jws5-javapackages-tools
Уязвимости
10
Эксплуатируемые
0
Макс. CVSS
7.5
Макс. EPSS
0.99652
Распределение по критичности
Критический
0
Высокий
2
Средний
7
Низкий
1
Также сопоставлено как (исходные строки): jws5-javapackages-tools
Топ уязвимостей
CVE-2019-0199Реализация HTTP/2 в Apache Tomcat 9.0.0.M1 - 9.0.14 и 8.5.0 - 8.5.37 принимала потоки с чрезмерным количеством кадров SETTINGS, а также позволяла клиентам держать потоки открытыми без чтения/записи данных запроса/ответа. Удерживая потоки открытыми для запросов, в которых использовался блокирующий ввод-вывод Servlet API, клиенты могли вызвать блокировку потоков на стороне сервера, что в конечном итоге приводило к исчерпанию потоков и DoS.
CVE-2018-1336Неправильная обработка переполнения в декодере UTF-8 с дополнительными символами может привести к бесконечному циклу в декодере, вызывающему отказ в обслуживании. Затронутые версии: Apache Tomcat 9.0.0.M9 - 9.0.7, 8.5.0 - 8.5.30, 8.0.0.RC1 - 8.0.51 и 7.0.28 - 7.0.86.
CVE-2019-1559Если приложение сталкивается с фатальной ошибкой протокола, а затем дважды вызывает SSL_shutdown() (один раз для отправки close_notify и один раз для получения), то OpenSSL может по-разному реагировать на вызывающее приложение, если получен 0-байтовый запись с неверным заполнением по сравнению с тем, если получен 0-байтовый запись с неверным MAC. Если приложение затем ведет себя по-разному на основе этого, что обнаружимо для удаленного пира, то это равнозначно оракулу заполнения, который можно использовать для расшифровки данных. Чтобы это можно было использовать, необходимо использовать "несшитые" наборы шифров. Сшитые наборы шифров — это оптимизированные реализации определенных часто используемых наборов шифров. Кроме того, приложение должно дважды вызвать SSL_shutdown(), даже если произошла ошибка протокола (приложения не должны этого делать, но некоторые все равно делают). Исправлено в OpenSSL 1.0.2r (затронуты 1.0.2-1.0.2q).
CVE-2019-0232При работе в Windows с включенным enableCmdLineArguments CGI Servlet в Apache Tomcat 9.0.0.M1 - 9.0.17, 8.5.0 - 8.5.39 и 7.0.0 - 7.0.93 уязвим для удаленного выполнения кода из-за ошибки в способе передачи аргументов командной строки JRE в Windows. CGI Servlet отключен по умолчанию. Параметр CGI enableCmdLineArguments отключен по умолчанию в Tomcat 9.0.x (и будет отключен по умолчанию во всех версиях в ответ на эту уязвимость). Подробное объяснение поведения JRE см. в блоге Маркуса Вулфтанге (https://codewhitesec.blogspot.com/2016/02/java-and-command-line-injections-in-windows.html) и в этом заархивированном блоге MSDN (https://web.archive.org/web/20161228144344/https://blogs.msdn.microsoft.com/twistylittlepassagesallalike/2011/04/23/everyone-quotes-command-line-arguments-the-wrong-way/).
CVE-2018-8014Настройки по умолчанию для фильтра CORS, предоставляемого в Apache Tomcat с 9.0.0.M1 по 9.0.8, с 8.5.0 по 8.5.31, с 8.0.0.RC1 по 8.0.52, с 7.0.41 по 7.0.88, небезопасны и включают 'supportsCredentials' для всех источников. Ожидается, что пользователи фильтра CORS настроят его соответствующим образом для своей среды, а не будут использовать его в конфигурации по умолчанию. Поэтому ожидается, что большинство пользователей не пострадают от этой проблемы.
CVE-2019-10072Исправление для CVE-2019-0199 было неполным и не устранило исчерпание окна соединения HTTP/2 при записи в Apache Tomcat версий 9.0.0.M1 до 9.0.19 и 8.5.0 до 8.5.40. Не отправляя сообщения WINDOW_UPDATE для окна соединения (поток 0), клиенты могли вызвать блокировку потоков на стороне сервера, что в конечном итоге приводило к истощению потоков и DoS.
CVE-2019-0221Команда SSI printenv в Apache Tomcat 9.0.0.M1 - 9.0.0.17, 8.5.0 - 8.5.39 и 7.0.0 - 7.0.93 повторяет предоставленные пользователем данные без экранирования и, следовательно, уязвима для XSS. SSI отключен по умолчанию. Команда printenv предназначена для отладки и вряд ли присутствует на производственном веб-сайте.
CVE-2018-5407Одновременная многопоточность (SMT) в процессорах может позволить локальным пользователям использовать программное обеспечение, уязвимое для атак по времени, посредством побочной атаки по времени на «конкуренцию портов».
CVE-2018-8034Отсутствовала проверка имени хоста при использовании TLS с WebSocket-клиентом. Теперь она включена по умолчанию. Затронутые версии: Apache Tomcat с 9.0.0.M1 по 9.0.9, с 8.5.0 по 8.5.31, с 8.0.0.RC1 по 8.0.52 и с 7.0.35 по 7.0.88.
CVE-2021-43980Упрощенная реализация блокирующих операций чтения и записи, представленная в Tomcat 10 и перенесенная в Tomcat 9.0.47 и новее, выявила давнюю (но чрезвычайно трудно запускаемую) ошибку параллелизма в Apache Tomcat 10.1.0 - 10.1.0-M12, 10.0.0-M1 - 10.0.18, 9.0.0-M1 - 9.0.60 и 8.5.0 - 8.5.77, которая могла привести к тому, что клиентские соединения совместно использовали экземпляр Http11Processor, что приводило к получению ответов или их частей неверным клиентом.