PT-2022-2604 · Apache+4 · Apache Tomcat+4
4Ra1N
·
Publicado
2020-09-30
·
Atualizado
2026-05-18
·
CVE-2022-25762
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:P/A:P |
Nome do software vulnerável e versões afetadas
Versões do Apache Tomcat de 8.5.0 a 8.5.75
Versões do Apache Tomcat de 9.0.0.M1 a 9.0.20
Descrição
O problema está relacionado a erros que ocorrem quando um aplicativo web envia uma mensagem WebSocket simultaneamente ao fechamento da conexão WebSocket. Isso pode fazer com que o aplicativo continue usando o soquete após ele ter sido fechado, levando a um objeto do pool ser colocado no pool duas vezes. Como resultado, conexões subsequentes podem usar o mesmo objeto simultaneamente, potencialmente fazendo com que dados sejam retornados ao usuário errado e/ou causando outros erros.
Recomendações
Para as versões do Apache Tomcat 8.5.0 a 8.5.75, atualize para uma versão fora desse intervalo para resolver o problema.
Para as versões do Apache Tomcat 9.0.0.M1 a 9.0.20, atualize para uma versão fora desse intervalo para resolver o problema.
Como solução alternativa temporária, considere desativar a funcionalidade WebSocket até que um patch esteja disponível.
Restrinja o acesso a dados confidenciais para minimizar o risco de exploração.
Exploit
Correção
Race Condition
Improper Resource Release
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Apache Tomcat
Centos
Red Hat
Rocky Linux