Vulnérabilités Apache activement exploitées (KEV)

CVE-2016-3081 — Apache Struts : vulnérabilité d'injection de commandes

• Produit : Apache Struts
• Ajoutée au catalogue : 8 octobre 2026
• Échéance CISA : 11 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-77
• Gravité : CVSS 8,1 (élevée)
• Probabilité d’exploitation (EPSS) : 97 %
• Technologie : Apache Struts

Apache Struts contient une vulnérabilité d'injection de commandes qui pourrait permettre à des attaquants distants d'exécuter du code arbitraire via la méthode :prefix lorsque l'invocation de méthode dynamique est activée.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

CVE-2026-34486 — Apache Tomcat : absence de chiffrement des données sensibles

• Produit : Apache Tomcat
• Ajoutée au catalogue : 4 août 2026
• Échéance CISA : 7 août 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-311
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : Tomcat

Apache Tomcat contient une vulnérabilité d'absence de chiffrement des données sensibles qui permet de contourner l'EncryptInterceptor. Cette vulnérabilité peut être chaînée avec CVE‑2025‑24813.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · lists.apache.org

CVE-2026-34197 — Apache ActiveMQ : validation incorrecte des entrées

• Produit : Apache ActiveMQ
• Ajoutée au catalogue : 16 avril 2026
• Échéance CISA : 30 avril 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-20, CWE-94
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 98 %

Apache ActiveMQ contient une vulnérabilité de validation incorrecte des entrées qui permet une injection de code.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · activemq.apache.org

CVE-2024-38475 — Apache HTTP Server : validation incorrecte des entrées Critique

• Produit : Apache HTTP Server
• Ajoutée au catalogue : 1 mai 2025
• Échéance CISA : 22 mai 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-116
• Gravité : CVSS 9,1 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Apache HTTP Server

Apache HTTP Server contient une vulnérabilité de validation incorrecte des entrées dans mod_rewrite qui permet à un attaquant de mapper des url à des emplacements du système de fichiers autorisés à être servis par le serveur mais qui ne sont pas intentionnellement/directement accessibles par une url, entraînant une exécution de code ou une divulgation de code source.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2025-24813 — Apache Tomcat : vulnérabilité d'équivalence de chemin Critique

• Produit : Apache Tomcat
• Ajoutée au catalogue : 1 avril 2025
• Échéance CISA : 22 avril 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-44, CWE-502
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : Tomcat

Apache Tomcat contient une vulnérabilité d'équivalence de chemin qui permet à un attaquant distant d'exécuter du code, de divulguer des informations ou d'injecter du contenu malveillant via une requête PUT partielle. Cette vulnérabilité peut être chaînée avec CVE‑2026‑34486.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2024-45195 — Apache OFBiz : vulnérabilité de navigation forcée

• Produit : Apache OFBiz
• Ajoutée au catalogue : 4 février 2025
• Échéance CISA : 25 février 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-425
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : > 99,9 %

Apache OFBiz contient une vulnérabilité de navigation forcée qui permet à un attaquant distant d'obtenir un accès non autorisé.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2024-27348 — Apache HugeGraph-Server : vulnérabilité de contrôle d'accès incorrect

• Produit : Apache HugeGraph-Server
• Ajoutée au catalogue : 18 septembre 2024
• Échéance CISA : 9 octobre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-284
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Apache HugeGraph-Server contient une vulnérabilité de contrôle d'accès incorrect qui pourrait permettre à un attaquant distant d'exécuter du code arbitraire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2024-38856 — Apache OFBiz : vulnérabilité d'autorisation incorrecte

• Produit : Apache OFBiz
• Ajoutée au catalogue : 27 août 2024
• Échéance CISA : 17 septembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-863
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Apache OFBiz contient une vulnérabilité d'autorisation incorrecte qui pourrait permettre une exécution de code à distance via une charge utile Groovy dans le contexte du processus utilisateur OFBiz par un attaquant non authentifié.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2024-32113 — Apache OFBiz : vulnérabilité de traversée de répertoires

• Produit : Apache OFBiz
• Ajoutée au catalogue : 7 août 2024
• Échéance CISA : 28 août 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Apache OFBiz contient une vulnérabilité de traversée de répertoires qui pourrait permettre une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2020-17519 — Apache Flink : vulnérabilité de contrôle d'accès incorrect

• Produit : Apache Flink
• Ajoutée au catalogue : 23 mai 2024
• Échéance CISA : 13 juin 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-552
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 98 %

Apache Flink contient une vulnérabilité de contrôle d'accès incorrect qui permet à un attaquant de lire n'importe quel fichier sur le système de fichiers local du JobManager via son interface REST.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2023-27524 — Apache Superset : initialisation par défaut non sécurisée de ressource

• Produit : Apache Superset
• Ajoutée au catalogue : 8 janvier 2024
• Échéance CISA : 29 janvier 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-1188
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 98 %

Apache Superset contient une vulnérabilité d'initialisation par défaut non sécurisée d'une ressource qui permet à un attaquant de s'authentifier et d'accéder à des ressources non autorisées sur les installations qui n'ont pas modifié la clé secrète configurée par défaut conformément aux instructions d'installation.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · lists.apache.org

CVE-2023-46604 — Apache ActiveMQ : vulnérabilité de désérialisation de données non fiables Critique

• Produit : Apache ActiveMQ
• Ajoutée au catalogue : 2 novembre 2023
• Échéance CISA : 23 novembre 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-502
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %

Apache ActiveMQ contient une vulnérabilité de désérialisation de données non fiables qui pourrait permettre à un attaquant distant ayant un accès réseau au broker d'exécuter des commandes shell en manipulant les types de classes sérialisées dans le protocole OpenWire pour forcer le broker à instancier n'importe quelle classe présente dans le classpath.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · activemq.apache.org

Fiche détaillée : versions, références, chronologie →

CVE-2023-33246 — Apache RocketMQ : exécution de commandes

• Produit : Apache RocketMQ
• Ajoutée au catalogue : 6 septembre 2023
• Échéance CISA : 27 septembre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 97 %

Plusieurs composants d'Apache RocketMQ, y compris NameServer, Broker et Controller, sont exposés à l'extranet et ne disposent pas de vérification des permissions. Un attaquant peut exploiter cette vulnérabilité en utilisant la fonction de mise à jour de configuration pour exécuter des commandes en tant qu'utilisateurs système sous lesquels RocketMQ s'exécute ou obtenir le même effet en falsifiant le contenu du protocole RocketMQ.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · lists.apache.org

CVE-2016-8735 — Apache Tomcat : vulnérabilité d'exécution de code à distance

• Produit : Apache Tomcat
• Ajoutée au catalogue : 12 mai 2023
• Échéance CISA : 2 juin 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-284
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 90 %
• Technologie : Tomcat

Apache Tomcat contient une vulnérabilité non spécifiée qui permet une exécution de code à distance si JmxRemoteLifecycleListener est utilisé et qu'un attaquant peut atteindre les ports Java Management Extension (JMX). Ce CVE existe parce que ce listener n'a pas été mis à jour pour être cohérent avec les problèmes corrigés par Oracle pour CVE-2016-3427 qui affectaient les types d'identifiants.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · tomcat.apache.org

CVE-2021-45046 — Apache Log4j2 : vulnérabilité de désérialisation de données non fiables Critique

• Produit : Apache Log4j2
• Ajoutée au catalogue : 1 mai 2023
• Échéance CISA : 22 mai 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-917
• Gravité : CVSS 9,0 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Log4j

Apache Log4j2 contient une vulnérabilité de désérialisation de données non fiables due à la correction incomplète de CVE-2021-44228, où le pattern de recherche de contexte de thread est vulnérable à l'exécution de code à distance dans certaines configurations non par défaut.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · logging.apache.org

Fiche détaillée : versions, références, chronologie →

CVE-2022-33891 — Apache Spark : vulnérabilité d'injection de commandes

• Produit : Apache Spark
• Ajoutée au catalogue : 7 mars 2023
• Échéance CISA : 28 mars 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 93 %

Apache Spark contient une vulnérabilité d'injection de commandes via l'interface utilisateur (UI) de Spark lorsque les listes de contrôle d'accès (ACL) sont activées.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · lists.apache.org

CVE-2022-24706 — Apache CouchDB : initialisation par défaut non sécurisée de ressource

• Produit : Apache CouchDB
• Ajoutée au catalogue : 25 août 2022
• Échéance CISA : 15 septembre 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-1188
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 93 %

Apache CouchDB contient une vulnérabilité d'initialisation par défaut non sécurisée de ressource qui peut permettre à un attaquant d'obtenir des privilèges administratifs.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · lists.apache.org

CVE-2022-24112 — Apache APISIX : contournement de l'authentification

• Produit : Apache APISIX
• Ajoutée au catalogue : 25 août 2022
• Échéance CISA : 15 septembre 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-290
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 96 %

Apache APISIX contient une vulnérabilité de contournement de l'authentification qui permet une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · lists.apache.org

CVE-2020-1956 — Apache Kylin : injection de commandes système

• Produit : Apache Kylin
• Ajoutée au catalogue : 25 mars 2022
• Échéance CISA : 15 avril 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 97 %

Apache Kylin contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant d'exécuter du code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2017-12617 — Apache Tomcat : exécution de code à distance

• Produit : Apache Tomcat
• Ajoutée au catalogue : 25 mars 2022
• Échéance CISA : 15 avril 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-434
• Gravité : CVSS 8,1 (élevée)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Tomcat

Lors de l'exécution d'Apache Tomcat, il est possible de téléverser un fichier JSP sur le serveur via une requête spécialement élaborée. ce fichier JSP pourrait ensuite être demandé et tout code qu'il contiendrait serait exécuté par le serveur.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2017-12615 — Apache Tomcat sur Windows : exécution de code à distance

• Produit : Apache Tomcat
• Ajoutée au catalogue : 25 mars 2022
• Échéance CISA : 15 avril 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-434
• Gravité : CVSS 8,1 (élevée)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : Windows, Tomcat

Lorsque apache tomcat s'exécute sur windows avec les http put activés, il est possible de téléverser un fichier jsp sur le serveur via une requête spécialement élaborée. ce jsp pourrait ensuite être demandé et tout code qu'il contiendrait serait exécuté par le serveur.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2013-2251 — Apache Struts : vulnérabilité de validation incorrecte des entrées

• Produit : Apache Struts
• Ajoutée au catalogue : 25 mars 2022
• Échéance CISA : 15 avril 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-20
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Apache Struts

Apache Struts permet à des attaquants distants d'exécuter des expressions arbitraires du langage Object-Graph Navigation Language (OGNL).

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-1938 — Apache Tomcat : vulnérabilité de gestion incorrecte des privilèges

• Produit : Apache Tomcat
• Ajoutée au catalogue : 3 mars 2022
• Échéance CISA : 17 mars 2022
• Rançongiciels : pas d’usage connu
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : Tomcat

Apache Tomcat traite les connexions Apache JServ Protocol (AJP) comme ayant une confiance supérieure à, par exemple, une connexion HTTP similaire. Si de telles connexions sont accessibles à un attaquant, elles peuvent être exploitées.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2017-9791 — Apache Struts 1 : vulnérabilité de validation incorrecte des entrées

• Produit : Apache Struts 1
• Ajoutée au catalogue : 10 février 2022
• Échéance CISA : 10 août 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-20
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : Apache Struts

Le plugin Struts 1 dans Apache Struts pourrait permettre une exécution de code à distance via une valeur de champ malveillante transmise dans un message brut à ActionMessage.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2016-3088 — Apache ActiveMQ : vulnérabilité de validation incorrecte des entrées

• Produit : Apache ActiveMQ
• Ajoutée au catalogue : 10 février 2022
• Échéance CISA : 10 août 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-20
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

L'application web Fileserver dans Apache ActiveMQ permet à des attaquants distants de téléverser et d'exécuter des fichiers arbitraires via une requête HTTP PUT suivie d'une requête HTTP MOVE

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2012-0391 — Apache Struts 2 : vulnérabilité de validation incorrecte des entrées

• Produit : Apache Struts 2
• Ajoutée au catalogue : 21 janvier 2022
• Échéance CISA : 21 juillet 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-20
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 76 %
• Technologie : Apache Struts

Le composant ExceptionDelegator dans Apache Struts 2 avant 2.2.3.1 contient une vulnérabilité de validation incorrecte des entrées qui permet une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2006-1547 — Apache Struts 1 : vulnérabilité de déni de service dans ActionForm

• Produit : Apache Struts 1
• Ajoutée au catalogue : 21 janvier 2022
• Échéance CISA : 21 juillet 2022
• Rançongiciels : pas d’usage connu
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 55 %
• Technologie : Apache Struts

ActionForm dans les versions d'Apache Struts antérieures à 1.2.9 avec BeanUtils 1.7 contient une vulnérabilité qui permet un déni de service (DoS).

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-13927 — Apache Airflow's Experimental API : contournement de l'authentification

• Produit : Apache Airflow's Experimental API
• Ajoutée au catalogue : 18 janvier 2022
• Échéance CISA : 18 juillet 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-1188, CWE-306
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Le paramètre par défaut précédent pour l'API expérimentale d'Airflow permettait toutes les requêtes API sans authentification.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-11978 — Apache Airflow : injection de commandes

• Produit : Apache Airflow
• Ajoutée au catalogue : 18 janvier 2022
• Échéance CISA : 18 juillet 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 99 %

Une vulnérabilité d'injection de code/commande à distance a été découverte dans l'un des DAGs d'exemple fournis avec Airflow.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-44228 — Apache Log4j2 : vulnérabilité d'exécution de code à distance Critique

• Produit : Apache Log4j2
• Ajoutée au catalogue : 10 décembre 2021
• Échéance CISA : 24 décembre 2021
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-20, CWE-400, CWE-502
• Gravité : CVSS 10,0 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Log4j

Apache Log4j2 contient une vulnérabilité où les fonctionnalités JNDI ne protègent pas contre les points d'extrémité liés à JNDI contrôlés par l'attaquant, permettant une exécution de code à distance.

Action requise : Pour tous les actifs logiciels affectés pour lesquels des mises à jour existent, les seules actions de remédiation acceptables sont : 1) Appliquer les mises à jour ; OU 2) retirer les actifs affectés des réseaux de l'agence. Les mesures d'atténuation temporaires utilisant l'une des mesures fournies à https://www.cisa.gov/uscert/ed-22-02-apache-log4j-recommended-mitigation-measures ne sont acceptables que jusqu'à ce que des mises à jour soient disponibles.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2019-0193 — Apache Solr : vulnérabilité d'injection de code dans DataImportHandler

• Produit : Apache Solr
• Ajoutée au catalogue : 10 décembre 2021
• Échéance CISA : 10 juin 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 84 %

Le module optionnel Apache Solr DataImportHandler contient une vulnérabilité d'injection de code.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-40438 — Apache, serveur HTTP : falsification de requêtes côté serveur (SSRF) Critique

• Produit : Apache Apache
• Ajoutée au catalogue : 1 décembre 2021
• Échéance CISA : 15 décembre 2021
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-918
• Gravité : CVSS 9,0 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Apache HTTP Server

Une uri-path élaborée peut amener mod_proxy à transférer la requête vers un serveur d'origine choisi par l'utilisateur distant. Ce problème affecte Apache HTTP Server 2.4.48 et les versions antérieures.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2021-42013 — Apache HTTP Server : vulnérabilité de traversée de répertoires Critique

• Produit : Apache HTTP Server
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 17 novembre 2021
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-22
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Apache HTTP Server

Apache HTTP Server contient une vulnérabilité de traversée de répertoires qui permet à un attaquant d'exécuter du code à distance si les fichiers en dehors des répertoires configurés par des directives de type Alias ne sont pas soumis par défaut à 'require all denied' ou si les scripts CGI sont activés. Cet identifiant CVE résout un correctif incomplet pour CVE-2021-41773.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2021-41773 — Apache HTTP Server : vulnérabilité de traversée de répertoires Critique

• Produit : Apache HTTP Server
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 17 novembre 2021
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-22
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Apache HTTP Server

Apache HTTP Server contient une vulnérabilité de traversée de répertoires qui permet à un attaquant d'exécuter du code à distance si les fichiers en dehors des répertoires configurés par les directives de type Alias ne sont pas soumis par défaut à « require all denied » ou si les scripts CGI sont activés. Le correctif original publié sous cet identifiant CVE est insuffisant, veuillez consulter les informations de remédiation sous CVE-2021-42013.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2020-17530 — Apache Struts : vulnérabilité d'exécution de code à distance

• Produit : Apache Struts
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-917
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 96 %
• Technologie : Apache Struts

L'évaluation forcée du langage de navigation d'objets (OGNL) dans Apache Struts, lorsqu'elle est évaluée sur des entrées utilisateur brutes dans les attributs de balise, peut entraîner une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-17558 — Apache Solr VelocityResponseWriter Plug-In : exécution de code à distance

• Produit : Apache Solr
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-74
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 99 %

Le plug-in VelocityResponseWriter d'Apache Solr contient une vulnérabilité non spécifiée qui peut permettre une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-0211 — Apache HTTP Server : élévation de privilèges

• Produit : Apache HTTP Server
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-416
• Gravité : CVSS 7,8 (élevée)
• Probabilité d’exploitation (EPSS) : 65 %
• Technologie : Apache HTTP Server

Apache HTTP Server, avec MPM event, worker ou prefork, code exécuté dans des processus ou des threads enfants moins privilégiés (y compris les scripts exécutés par un interpréteur de script en processus) pourrait exécuter du code avec les privilèges du processus parent (généralement root) en manipulant le tableau de bord (scoreboard).

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2018-11776 — Apache Struts : vulnérabilité d'exécution de code à distance

• Produit : Apache Struts
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-20
• Gravité : CVSS 8,1 (élevée)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Apache Struts

Apache Struts contient une vulnérabilité qui permet une exécution de code à distance dans deux circonstances. Premièrement, lorsque l'option alwaysSelectFullNamespace est vraie et que la valeur n'est pas définie pour un résultat défini dans les configurations sous-jacentes et que la configuration du paquet supérieur n'a aucun namespace ou un namespace générique. Ou, en utilisant une balise URL qui n'a pas de valeur et de paramètre d'action et que la configuration du paquet supérieur n'a aucun namespace ou un namespace générique.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2017-9805 — Apache Struts : vulnérabilité de désérialisation de données non fiables

• Produit : Apache Struts
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-502
• Gravité : CVSS 8,1 (élevée)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : Apache Struts

Le plugin REST d'apache struts utilise un xstreamhandler avec une instance de xstream pour la désérialisation sans aucun filtrage de type, ce qui peut entraîner une exécution de code à distance lors de la désérialisation de charges utiles xml.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2017-5638 — Apache Struts : vulnérabilité d'exécution de code à distance Critique

• Produit : Apache Struts
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-20
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Apache Struts

Le parseur Jakarta Multipart d'Apache Struts permet un téléversement de fichiers malveillants en utilisant la valeur Content-Type, ce qui conduit à une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2016-4437 — Apache Shiro : vulnérabilité d'exécution de code

• Produit : Apache Shiro
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-284
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 93 %

Apache Shiro contient une vulnérabilité qui pourrait permettre à des attaquants distants d'exécuter du code ou de contourner les restrictions d'accès prévues via un paramètre de requête non spécifié lorsqu'une clé de chiffrement n'a pas été configurée pour la fonctionnalité "remember me".

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA