Especialistas en ciberseguridad reportan el hallazgo de una vulnerabilidad de divulgación de información en Apache Tomcat, el contenedor de servlets desarrollado bajo el proyecto Jakarta en la Apache Software Foundation. Acorde al reporte, la explotación de esta falla permite que los atacantes remotos obtengan acceso a información confidencial.
A continuación se muestra una breve descripción de la falla reportada, además de su respectiva clave de identificación y puntaje según el Common Vulnerability Scoring System (CVSS).
CVE-2020-13943: La falla existe debido a la inapropiada gestión de los recursos internos dentro de Apache Tomcat durante el procesamiento de solicitudes HTTP/2. Si un cliente HTTP/2 excede el número máximo de transmisiones simultáneas para una conexión (lo que representa una violación del protocolo), es posible que una solicitud posterior contenga encabezados HTTP/2, incluyendo pseudo encabezados de una solicitud anterior en lugar de los previstos. En consecuencia, los usuarios podrían recibir respuestas para recursos no esperados.
Esta es una falla de severidad media que recibió un puntaje CVSS de 4.6/10, mencionan los expertos en ciberseguridad.
La vulnerabilidad reside en las siguientes versiones de Apache Tomcat: 8.5.0, 8.5.1, 8.5.2, 8.5.3, 8.5.4, 8.5.5, 8.5.6, 8.5.7, 8.5.8, 8.5.9, 8.5.10, 8.5.11, 8.5.12, 8.5.13, 8.5.14, 8.5.15, 8.5.16, 8.5.17, 8.5.18, 8.5.19, 8.5.20, 8.5.21, 8.5.22, 8.5.23, 8.5.24, 8.5.25, 8.5.26, 8.5.27, 8.5.28, 8.5.29, 8.5.30, 8.5.31, 8.5.32, 8.5.33, 8.5.34, 8.5.35, 8.5.36, 8.5.37, 8.5.38, 8.5.39, 8.5.40, 8.5.41, 8.5.42, 8.5.43, 8.5.44, 8.5.45, 8.5.46, 8.5.47, 8.5.48, 8.5.49, 8.5.50, 8.5.51, 8.5.52, 8.5.53, 8.5.54, 8.5.55, 8.5.56, 8.5.57, 9.0.0, 9.0.0-M1, 9.0.0-M2, 9.0.0-M3, 9.0.0-M4, 9.0.0-M5, 9.0.0-M6, 9.0.0-M7, 9.0.0-M8, 9.0.0-M9, 9.0.0-M10, 9.0.0-M11, 9.0.0-M12, 9.0.0-M13, 9.0.0-M14, 9.0.0-M15, 9.0.0-M16, 9.0.0-M17, 9.0.0-M18, 9.0.0-M19, 9.0.0-M20, 9.0.0-M21, 9.0.0-M22, 9.0.0-M23, 9.0.0-M24, 9.0.0-M25, 9.0.0-M26, 9.0.0-M27, 9.0.1, 9.0.2, 9.0.3, 9.0.4, 9.0.5, 9.0.6, 9.0.7, 9.0.8, 9.0.9, 9.0.10, 9.0.11, 9.0.12, 9.0.13, 9.0.14, 9.0.15, 9.0.16, 9.0.17, 9.0.18, 9.0.19, 9.0.20, 9.0.21, 9.0.22, 9.0.23, 9.0.24, 9.0.25, 9.0.26, 9.0.27, 9.0.28, 9.0.29, 9.0.30, 9.0.31, 9.0.32, 9.0.33, 9.0.34, 9.0.35, 9.0.36, 9.0.37, 10.0.0-M1, 10.0.0-M2, 10.0.0-M3, 10.0.0-M4, 10.0.0-M5, 10.0.0-M6, 10.0.0-M7, 10.0.0.0-M1.
Si bien la falla puede ser explotada por actores de amenazas remotos mediante el envío de solicitudes especialmente diseñadas, los expertos aún no han detectado intentos de explotación en escenarios reales, o bien la existencia de un malware asociado a este ataque.
Apache Foundation ya ha lanzado los parches correspondientes, por lo que los usuarios de versiones afectadas sólo deben actualizar a la brevedad.
