Actualizacion de seguridad de Apache
Múltiples vulnerabilidades con la implementación de TLS y la comprobación de OCSP corregidas con la actualización de seguridad de Apache. Al explotar las vulnerabilidades un atacante remoto puede obtener acceso al servidor
Respuesta inválida de OCSP
Respondedor de OCSP Apache Tomcat Native falló en el manejo de las respuestas de OCSP no válidas. La vulnerabilidad permite que los usuarios con certificados de cliente revocados puedan autenticarse cuando usan TLS mutuo.
La vulnerabilidad afecta a las versiones 1.2.0 a 1.2.16 y 1.1.23 a 1.1.34 y se ha corregido con la revisión 1832832. La vulnerabilidad se puede rastrear como CVE-2018-8019.
Autenticación con certificados revocados
Apache Tomcat Native falló al controlar las respuestas preproducidas de OCSP, lo que puede afectar la detección de certificados revocados y la vulnerabilidad permite que los usuarios con certificados de clientes revocados puedan autenticarse cuando usan TLS mutuo.
La vulnerabilidad afecta a las versiones 1.2.0 a 1.2.16 y 1.1.23 a 1.1.34 y se ha corregido con la revisión 1832863. La vulnerabilidad se puede rastrear como CVE-2018-8020.
Comprobación de OCSP omitida
Apache Tomcat Native Connector 1.2.0 a 1.2.14 y 1.1.23 a 1.1.34 no manejó correctamente los campos de más de 127 bytes. El resultado del error de análisis fue omitir la comprobación OCSP. Permite que un cliente que ha sido rechazado sea aceptado.
La vulnerabilidad afecta a las versiones 1.2.0 a 1.2.14 y 1.1.23 a 1.1.34 y se ha corregido con las revisiones 1815200 y 1815218. La vulnerabilidad se puede rastrear como CVE-2017-15698.
TLS SSL Hombre en el medio
No es una vulnerabilidad nativa de Apache Tomcat, si el APR / conector nativo usa una versión de OpenSSL que es vulnerable, el APR / conector nativo también es vulnerable y permite a los atacantes inyectar solicitudes arbitrarias en una transmisión TLS durante la renegociación.
A partir de la versión 1.1.18, las renegociaciones iniciadas por el cliente se rechazan para proporcionar una protección parcial contra esta vulnerabilidad con cualquier versión de OpenSSL. La vulnerabilidad se puede rastrear como CVE-2009-3555.
Heartbleed
La vulnerabilidad afecta a todas las versiones de OpenSSL anteriores a la 1.0.1 a la 1.0.1f, también es un atacante remoto que lee ciertos contenidos de la memoria del servidor.
La versión 1.1.24 - 1.1.29 de Tcnative incluye la versión vulnerable de OpenSSL, a partir de la tcnative 1.1.30 viene con la versión de OpenSSL que parcheó para esta vulnerabilidad. La vulnerabilidad se puede rastrear como CVE-2014-0160.