PT-2024-2570 · Apache+11 · Apache Tomcat+13

Bartek Nowotarski

·

Publicado

2024-02-19

·

Atualizado

2026-05-29

·

CVE-2024-24549

CVSS v2.0

7.8

Alta

VetorAV:N/AC:L/Au:N/C:N/I:N/A:C
Nome do software vulnerável e versões afetadas
Versões do Apache Tomcat anteriores à 11.0.0-M1, 10.1.0-M1, 9.0.0-M1, 8.5.0 a 8.5.98.
Descrição
A vulnerabilidade no Apache Tomcat deve-se à validação inadequada de entradas para solicitações HTTP/2, levando a possíveis condições de DoS. Se a solicitação excedesse qualquer um dos limites configurados para cabeçalhos, o fluxo HTTP/2 associado não era reiniciado até que todos os cabeçalhos tivessem sido processados. Este problema afeta as versões do Apache Tomcat de 11.0.0-M1 a 11.0.0-M16, de 10.1.0-M1 a 10.1.18, de 9.0.0-M1 a 9.0.85 e de 8.5.0 a 8.5.98. Recomenda-se que os usuários atualizem para a versão 11.0.0-M17, 10.1.19, 9.0.86 ou 8.5.99, que corrigem o problema.
Recomendações
Para resolver o problema, recomenda-se que os usuários atualizem para a versão mais recente do Apache Tomcat, especificamente para as versões 11.0.0-M17, 10.1.19, 9.0.86 ou 8.5.99. A atualização para essas versões corrigirá a vulnerabilidade e evitará possíveis condições de DoS. Além disso, os usuários podem desativar temporariamente a função vulnerableFunction() até que um patch esteja disponível ou restringir o acesso ao módulo vulnerável para minimizar o risco de exploração. No entanto, essas são medidas temporárias e não devem ser usadas como solução permanente. Os usuários devem seguir as notas de lançamento da versão mais recente do Confluence Data Center e Server e baixar a versão mais recente na central de downloads.
Observação:
A pontuação e o vetor CVSS não são fornecidos nos dados de entrada, mas

Exploit

Correção

DoS

RCE

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

ALSA-2024:3307
ALSA-2024:3666
ALSA-2024_1134
ALSA-2024_1444
ALSA-2024_3307
ALSA-2024_3666
ALSA-2025_11333
ALSA-2025_11335
ALSA-2025_16880
ALSA-2025_3645
ALSA-2025_3683
ALT-PU-2025-1726
ALT-PU-2025-2379
ALT-PU-2025-9146
BDU:2024-02608
BIT-TOMCAT-2024-24549
CESA-2024_3666
CVE-2024-24549
DLA-3779-1
DSA-5665-1
DSA-5667-1
ELSA-2024-3307
ELSA-2024-3666
GHSA-7W75-32CG-R6G2
INFSA-2024_3307
INFSA-2024_3666
MGASA-2024-0090
OESA-2024-2402
OESA-2024-2403
OESA-2024-2404
OESA-2024-2405
OESA-2024-2460
OPENSUSE-SU-2024:13832-1
OPENSUSE-SU-2024:13833-1
OPENSUSE-SU-2024_1204-1
OPENSUSE-SU-2024_1345-1
RHSA-2024:1318
RHSA-2024:1324
RHSA-2024:3307
RHSA-2024:3308
RHSA-2024:3666
RHSA-2024:3814
RHSA-2024_3307
RHSA-2024_3666
RLSA-2024:3307
RLSA-2024:3666
RLSA-2024_3307
RLSA-2024_3666
SUSE-SU-2024:1204-1
SUSE-SU-2024:1205-1
SUSE-SU-2024:1345-1
SUSE-SU-2024_1204-1
SUSE-SU-2024_1205-1
SUSE-SU-2024_1345-1
SUSE-SU-2026:1058-1
USN-7562-1

Produtos afetados

Alt Linux
Almalinux
Apache Tomcat
Astra Linux
Bamboo
Bitbucket
Centos
Confluence
Linuxmint
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu