CVE-2021-43980
Vulnérabilité faible dans Apache Tomcat (Apache Software Foundation)
CVSS 3.7 · Faible
EPSS 2.4%
Apache Software Foundation•Apache Tomcat•Versions : 8.5.0 to 8.5.77, 10.0.0-M1 to 10.0.18, 10.1.0-M1 to 10.1.0-M12, 9.0.0-M1 to 9.0.60
Description
The simplified implementation of blocking reads and writes introduced in Tomcat 10 and back-ported to Tomcat 9.0.47 onwards exposed a long standing (but extremely hard to trigger) concurrency bug in Apache Tomcat 10.1.0 to 10.1.0-M12, 10.0.0-M1 to 10.0.18, 9.0.0-M1 to 9.0.60 and 8.5.0 to 8.5.77 that could cause client connections to share an Http11Processor instance resulting in responses, or part responses, to be received by the wrong client.
Gravité et risque d'exploitation
CVE-2021-43980 obtient un score CVSS de 3.7/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 2.36 %, ce qui la place devant 83.5 % des CVE référencées.
Que faire ?
- Vérifiez si Apache Tomcat (versions 8.5.0 to 8.5.77, 10.0.0-M1 to 10.0.18, 10.1.0-M1 to 10.1.0-M12, 9.0.0-M1 to 9.0.60) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.