Race condition in Apache Tomcat

CAO 7.0CVE-2022-23181 · BIT-tomcat-2022-23181 · GHSA-9f3j-pm6f-9fm5 · Công bố 27/01/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-23181 là lỗ hổng mức CAO (CVSS 7.0) ảnh hưởng org.apache.tomcat:tomcat, tomcat (apache), agile engineering data management (oracle).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.69%, cao hơn 52.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 10.0.16, 9.0.58, 8.5.75 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.apache.tomcat:tomcat Maven	`≥ 10.0.0, < 10.0.16≥ 9.0.0, < 9.0.58< 8.5.75`	`10.0.169.0.588.5.75`
tomcat apache	`= 10.0.0= 10.1.0≥ 10.0.1, ≤ 10.0.14≥ 8.5.55, ≤ 8.5.73≥ 9.0.35, ≤ 9.0.56`	Chưa có bản vá
agile engineering data management oracle	`= 6.2.1.0`	Chưa có bản vá
communications cloud native core policy oracle	`= 1.15.0`	Chưa có bản vá
financial services crime and compliance management studio oracle	`= 8.0.8.2.0= 8.0.8.3.0`	Chưa có bản vá
managed file transfer oracle	`= 12.2.1.3.0= 12.2.1.4.0`	Chưa có bản vá
mysql enterprise monitor oracle	`≤ 8.0.29`	Chưa có bản vá

Mô tả

The fix for bug CVE-2020-9484 introduced a time of check time of use vulnerability into Apache Tomcat 10.1.0-M1 to 10.1.0-M8, 10.0.0-M5 to 10.0.14, 9.0.35 to 9.0.56 and 8.5.55 to 8.5.73 that allowed a local attacker to perform actions with the privileges of the user that the Tomcat process is using. This issue is only exploitable when Tomcat is configured to persist sessions using the FileStore.

Mô tả của NVD

The fix for bug CVE-2020-9484 introduced a time of check, time of use vulnerability into Apache Tomcat 10.1.0-M1 to 10.1.0-M8, 10.0.0-M5 to 10.0.14, 9.0.35 to 9.0.56 and 8.5.55 to 8.5.73 that allowed a local attacker to perform actions with the privileges of the user that the Tomcat process is using. This issue is only exploitable when Tomcat is configured to persist sessions using the FileStore.