در احراز هویت مبتنی بر فرم Apache Tomcat یک ضعف امنیتی وجود دارد که حمله کننده میتواند حمله تثبیت نشست اعمال کند. این رخنه امنیتی برای اجرایی سازی اکسپلویت قدری پیچیده است ولی از جهت احتیاط این خطا را میتوان یک آسیب پذیری به حساب آورد.
شناسه آسیب‌پذیری: CVE-2019-17563
سطح ریسک: بحرانی
CVSS:3.1/AV: N/AC: L/PR: N/UI: N/S: U/C: H/I: H/A: H
سیستم‌های آسیب‌پذیر:
Apache Tomcat 9.0.0.M1 to 9.0.23, 8.5.0 to 8.5.49 and 7.0.0 to 7.0.98
نیازمندی تعامل کاربر: خیر
سال شناسایی: ۲۰۱۹
چندین مشکل در Tomcat servlet و JSP engine پیدا شده است که میتواند منجر به حمله تثبیت نشست یا Session Fixation گردد. همچنین این آسیب‌پذیری موجب افشای اطلاعات، حملات XSS، ممانعت از سرویس از طریق استفاده بیش از حد از منابع و تغییر مسیر غیرامن می‌شود. برای ورژن قدیمی این مشکلات برای نسخه ۸.۵.۵۰-۰+deb9u1 حل شده است. این بروز رسانی نیازمند بروزرسانی نسخه tomcat-native به نسخه ۱.۲.۲۱-۱~deb9u1 می‌باشد. پیشنهاد می‌شود نسخه پکیج tomcat8 سیستم نیز به روز رسانی گردد. این آسیب‌پذیری در نسخه های زیر ایمن سازی شده است.
Apache Tomcat 9.0.30
Apache Tomcat 8.5.50
Apache Tomcat 7.0.99
