Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
O Apache Tomcat é um servidor web e contêiner de servlets de código aberto amplamente utilizado, mas, como qualquer software, não está imune a vulnerabilidades. A Canonical lançou atualizações de segurança para corrigir várias vulnerabilidades do Tomcat em diferentes versões, incluindo o Ubuntu 22.04 LTS, o Ubuntu 20.04 LTS, o Ubuntu 18.04 ESM e o Ubuntu 16.04 ESM. Essas vulnerabilidades, se exploradas, podem levar a consequências graves, incluindo negação de serviço, execução de código arbitrário e divulgação de informações confidenciais.
Neste artigo, exploramos os detalhes dessas vulnerabilidades e oferecemos orientações sobre como proteger seus sistemas por meio de atualizações de segurança essenciais e suporte estendido.
Vulnerabilidades do Tomcat corrigidas no Ubuntu
CVE-2020-9484 (Pontuação de gravidade CVSS v3: 7,0 – Alta)
Foi descoberta uma vulnerabilidade no Tomcat, na qual ele processava incorretamente certas configurações incomuns do PersistenceManager com FileStore. Esse problema poderia, potencialmente, permitir que um invasor remoto executasse código arbitrário. A vulnerabilidade afetou apenas o Tomcat 8 em execução no Ubuntu 18.04.
CVE-2021-25122 (Pontuação de gravidade CVSS v3: 7,5 – Alta)
Foi identificada outra vulnerabilidade no tratamento dado pelo Tomcat a determinadas solicitações de conexão HTTP/2. Um invasor remoto poderia explorar essa falha para obter respostas incorretas que poderiam conter informações confidenciais. Essa vulnerabilidade também afetou o Tomcat 8 no Ubuntu 18.04 LTS. O tratamento inadequado das solicitações HTTP/2 pode levar ao vazamento de informações, representando um risco significativo à confidencialidade dos dados.
CVE-2021-41079 (Pontuação de gravidade CVSS v3: 7,5 – Alta)
Thomas Wozenilek identificou uma vulnerabilidade no Tomcat relacionada ao tratamento de determinados pacotes TLS. Esse problema poderia, potencialmente, permitir que um invasor remoto causasse um ataque de negação de serviço (DoS). Essa vulnerabilidade era específica do Tomcat 8 no Ubuntu 18.04. Ataques de negação de serviço podem comprometer a disponibilidade de serviços da web, causando problemas operacionais significativos.
CVE-2022-23181 (Pontuação de gravidade CVSS v3: 7,0 – Alta)
Trung Pham descobriu uma condição de corrida no Tomcat ao lidar com arquivos de sessão usando o FileStore. Essa vulnerabilidade poderia permitir que um invasor remoto executasse código arbitrário. Ela afetou o Tomcat 8 no Ubuntu 16.04 e 18.04, bem como o Tomcat 9 no Ubuntu 18.04 LTS e 20.04 LTS. Como o fim do ciclo de vida do Ubuntu 16.04 já passou, esses sistemas estão particularmente vulneráveis sem a aplicação de patches específicos.
CVE-2022-29885 (Pontuação de gravidade CVSS v3: 7,5 – Alta)
Foi identificada uma vulnerabilidade na documentação do Tomcat, que afirmava incorretamente que o EncryptInterceptor oferecia proteção de disponibilidade em redes não confiáveis. Essa informação incorreta poderia permitir que um invasor remoto causasse uma negação de serviço, mesmo quando o EncryptInterceptor estivesse em uso. O problema afetou o Tomcat 8 no Ubuntu 18.04 LTS e o Tomcat 9 no Ubuntu 18.04, 20.04 LTS e 22.04 LTS.
Protegendo seus sistemas Ubuntu
Dados os riscos associados a essas vulnerabilidades, é essencial garantir que sua instalação do Tomcat esteja atualizada com os patches de segurança mais recentes. Para versões do Ubuntu com suporte, como o Ubuntu 22.04 LTS e o 20.04 LTS, as atualizações de segurança estão disponíveis no repositório padrão. É importante observar que o fim do ciclo de vida do Ubuntu 20.04 está previsto para abril de 2025; a partir dessa data, as atualizações de segurança não serão mais fornecidas sem uma assinatura de suporte estendido. A aplicação regular dessas atualizações ajuda a mitigar os riscos representados pelas vulnerabilidades conhecidas.
No entanto, o Ubuntu 18.04 chegou ao fim de sua vida útil (EOL) e não recebe mais atualizações de segurança padrão. Se você estiver utilizando essas versões, é necessário considerar a atualização para uma versão com suporte. Como alternativa, você pode optar por serviços de suporte estendido.
Além disso, as vulnerabilidades do Keepass são outro ponto importante a ser monitorado ao proteger seus sistemas. Assim como no caso do Tomcat, é essencial manter seu gerenciador de senhas atualizado para mitigar os riscos associados às vulnerabilidades desses aplicativos.
Suporte de ciclo de vida estendido (ELS) com a TuxCare
A TuxCare oferece Suporte de Ciclo de Vida Estendido (ELS) para o Ubuntu 16.04 e 18.04, fornecendo atualizações de segurança automatizadas por até cinco anos após a data oficial de fim de vida. Esse serviço abrange uma ampla gama de pacotes, incluindo o kernel do Linux, Tomcat, glibc, OpenSSL, Python, OpenJDK e muito mais. Com o ELS da TuxCare, seus sistemas permanecem protegidos contra ameaças emergentes, garantindo um ambiente de computação seguro mesmo após o término do período de suporte padrão.
Conclusão
As vulnerabilidades do Apache Tomcat podem representar riscos significativos para suas aplicações web e seus dados. Ao se manter informado sobre essas vulnerabilidades e aplicar atualizações de segurança imediatamente, você pode proteger seus sistemas contra possíveis ataques. Para sistemas que rodam em versões do Ubuntu cujo ciclo de vida útil chegou ao fim (EOL), opções de suporte estendido, como o ELS da TuxCare, oferecem uma solução valiosa para manter a segurança e a conformidade.
Conheça os riscos de usar versões do Linux que chegaram ao fim do ciclo de vida neste guia.
Fonte: USN-6943-1
