CVE-2018-11759
El código específico de Apache Web Server (httpd) que normalizaba la ruta antes de compararla con el mapa URI-worker en Apache Tomcat JK (mod_jk) Connector,...
- Publicado
- 31 oct 2018
- Actualizado
- 5 ago 2024
- Asignación de CNA
- apache
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NAlto · próximos 30 días
- Percentil
- 99,7 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El código específico de Apache Web Server (httpd) que normalizaba la ruta antes de compararla con el mapa URI-worker en Apache Tomcat JK (mod_jk) Connector, desde la versión 1.2.0 hasta la 1.2.44, no gestionaba correctamente algunos casos extremos. Si solo un subconjunto de las URL soportadas por Tomcat estuviese expuesto mediante httpd, una petición especialmente construida podría exponer funcionalidades de la aplicación mediante el proxy inverso que no estaba pensado para que los clientes accediesen a la aplicación a través de él. En algunas configuraciones, también era posible que una petición especialmente construida omita los controles de acceso configurados en htttpd. Aunque existe cierto solapamiento entre este problema y CVE-2018-1323, no son idénticos.
Fuentes
3Exploit de prueba de concepto para CVE-2018-11759 que demuestra el bypass de acceso de Apache mod_jk mediante peticiones especialmente diseñadas para evadir las restricciones del proxy inverso.
- Identificador-CVE-2018-11759Exploit
Script Bash para detectar y explotar CVE-2018-11759 en instancias de Apache Tomcat, con registro de auditoría de los detalles del balanceador de carga objetivo, direcciones internas y rutas.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.