Zaloguj się
Deutsch English Español Polski
Wysoka

Apache Tomcat Allocation of Resources Without Limits or Throttling vulnerability

  • Ujawniono: 07.11.2024
  • Aktualizacja: 11.10.2026 12:22

Allocation of Resources Without Limits or Throttling vulnerability in Apache Tomcat.

This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.0-M20, from 10.1.0-M1 through 10.1.24, from 9.0.13 through 9.0.89. The following versions were EOL at the time the CVE was created but are known to be affected: 8.5.35 through 8.5.100 and 7.0.92 through 7.0.109.

Users are recommended to upgrade to version 11.0.0-M21, 10.1.25, or 9.0.90, which fixes the issue.

Apache Tomcat, under certain configurations on any platform, allows an attacker to cause an OutOfMemoryError by abusing the TLS handshake process.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.tomcat.embed:tomcat-embed-core >= 11.0.0-M1, < 11.0.0-M21, >= 10.1.0-M1, < 10.1.25, >= 9.0.13, < 9.0.90, >= 8.5.35, <= 8.5.100, >= 7.0.92, <= 7.0.109 11.0.0-M21, 10.1.25, 9.0.90
Java / Kotlin (Maven) org.apache.tomcat:tomcat-coyote >= 11.0.0-M1, < 11.0.0-M21, >= 10.1.0-M1, < 10.1.25, >= 9.0.13, < 9.0.90, >= 8.5.35, <= 8.5.100, >= 7.0.92, <= 7.0.109 11.0.0-M21, 10.1.25, 9.0.90

Odnośniki

Ocena CVSS 8.6/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
Słabość (CWE)
CWE-770
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.tomcat.embed:tomcat-embed-core, org.apache.tomcat:tomcat-coyote
Ujawniono
07.11.2024
Aktualizacja
11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7jqf-v358-p8g7 - CC BY 4.0

Historia podatności: org.apache.tomcat:tomcat-coyote

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (33) w archiwum
Wszystkich wpisów
33
Pierwsza → ostatnia
06.2020 05.2026
Bez poprawki
0
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 2
  • Wysoka 17
  • Średnia 13
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Apache Tomcat - HTTP/2 request headers not validated
    Krytyczna · 9.8 CVE-2026-41293 >= 8.5.0, < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  2. Apache Tomcat has an HTTP Request/Response Smuggling vulnerability
    Wysoka · 7.5 CVE-2026-24880 >= 7.0.0, < 9.0.116, >= 10.1.0-M1, < 10.1.52, >= 11.0.0-M1, < 11.0.20 9.0.116, 10.1.52, 11.0.20
  3. Apache Tomcat: Configured cipher preference order not preserved
    Wysoka · 7.5 CVE-2026-29129 >= 9.0.114, < 9.0.116, >= 10.1.51, < 10.1.53, >= 11.0.16, < 11.0.20 9.0.116, 10.1.53, 11.0.20
  4. Apache Tomcat has an Improper Input Validation vulnerability
    Wysoka · 7.5 CVE-2026-24734 >= 11.0.0-M1, < 11.0.18, >= 10.1.0-M7, < 10.1.52, >= 9.0.83, < 9.0.115 11.0.18, 10.1.52, 9.0.115
  5. Apache Tomcat Improper Resource Shutdown or Release vulnerability
    Wysoka · 7.5 CVE-2025-48989 >= 11.0.0-M1, < 11.0.10, >= 10.1.0-M1, < 10.1.44, >= 9.0.0.M1, < 9.0.108 11.0.10, 10.1.44, 9.0.108
  6. Apache Tomcat Coyote vulnerable to Denial of Service via excessive HTTP/2 streams
    Wysoka · 7.5 CVE-2025-53506 >= 11.0.0-M1, < 11.0.9, >= 10.1.0-M1, < 10.1.43, >= 9.0.0.M1, < 9.0.107, >= 8.5.0, <= 8.5.100 11.0.9, 10.1.43, 9.0.107
  7. Apache Tomcat Allocation of Resources Without Limits or Throttling vulnerability ten wpis
    Wysoka · 8.6 CVE-2024-38286 >= 11.0.0-M1, < 11.0.0-M21, >= 10.1.0-M1, < 10.1.25, >= 9.0.13, < 9.0.90, >= 8.5.35, <= 8.5.100, >= 7.0.92, <= 7.0.109 11.0.0-M21, 10.1.25, 9.0.90
  8. Apache Tomcat - Denial of Service
    Wysoka · 7.5 CVE-2024-34750 >= 11.0.0-M1, < 11.0.0-M21, >= 10.1.0-M1, < 10.1.25, >= 9.0.0-M1, < 9.0.90, >= 8.5.0, <= 8.5.100 11.0.0-M21, 10.1.25, 9.0.90
  9. Apache Tomcat Improper Input Validation vulnerability
    Wysoka · 7.5 CVE-2023-46589 >= 11.0.0-M1, < 11.0.0-M11 11.0.0-M11
  10. Apache Tomcat - Fix for CVE-2023-24998 was incomplete
    Wysoka · 7.5 CVE-2023-28709 >= 8.5.85, < 8.5.88 8.5.88
  11. Apache Tomcat vulnerable to information leak
    Wysoka · 7.5 CVE-2023-34981 >= 8.5.88, < 8.5.89 8.5.89
  12. Apache Commons FileUpload denial of service vulnerability
    Wysoka · 7.5 CVE-2023-24998 >= 10.1.0-M1, < 10.1.5, >= 11.0.0-M2, < 11.0.0-M5, >= 8.5.85, < 8.5.88, >= 9.0.0-M1, < 9.0.71 10.1.5, 11.0.0-M5, 8.5.88, 9.0.71
  13. Apache Tomcat may reject request containing invalid Content-Length header
    Wysoka · 7.5 CVE-2022-42252 >= 9.0.0-M1, < 9.0.68, >= 10.0.0-M1, < 10.0.27, >= 10.1.0-M1, < 10.1.1 9.0.68, 10.0.27, 10.1.1
  14. Expected Behavior Violation in Apache Tomcat
    Krytyczna · 9.8 CVE-2017-5651 >= 9.0.0.M1, < 9.0.0.M19, >= 8.5.0, < 8.5.13 9.0.0.M19, 8.5.13
  15. Improper Input Validation in Apache Tomcat
    Wysoka · 7.1 CVE-2016-6816 >= 9.0.0.M1, < 9.0.0.M12, >= 8.5.0, < 8.5.8, >= 8.0.0RC1, < 8.0.39, >= 7.0.0, < 7.0.73, >= 6.0.0, < 6.0.48 9.0.0.M12, 8.5.8, 8.0.39, 7.0.73, 6.0.48
  16. Exposure of Sensitive Information to an Unauthorized Actor in Apache Tomcat
    Wysoka · 7.5 CVE-2020-17527 >= 10.0.0-M1, < 10.0.0-M10, >= 9.0.0-M1, < 9.0.40, >= 8.5.0, < 8.5.60 10.0.0-M10, 9.0.40, 8.5.60
  17. Improper Restriction of Operations within the Bounds of a Memory Buffer in Apache Tomcat
    Wysoka · 7.5 CVE-2020-13934 >= 10.0.0-M1, < 10.0.0-M6, >= 9.0.0.M5, < 9.0.36, >= 8.5.1, < 8.5.56 10.0.0-M6, 9.0.36, 8.5.56
  18. Exposure of Sensitive Information to an Unauthorized Actor in Apache Tomcat
    Wysoka · 7.5 CVE-2021-25122 >= 10.0.0-M1, < 10.0.2 10.0.2
  19. Apache Tomcat Denial of Service vulnerability
    Wysoka · 7.5 CVE-2019-0199 >= 9.0.0, < 9.0.16, >= 8.0.0, < 8.5.38 9.0.16, 8.5.38

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.