CVE-2019-0232

ВысокийОпубликовано

При работе в Windows с включённой опцией enableCmdLineArguments сервлет CGI в Apache Tomcat 9.0.0.M1–9.0.17, 8.5.0–8.5.39 и 7.0.0–7.0.93 уязвим к удалённому...

Опубликовано: 15 апр. 2019 г.
Обновлено: 4 авг. 2024 г.
Назначение CNA: apache
Наблюдены доказательства: 3 июл. 2019 г.

Первичный CVSS

9,3/ 10Высокий

nvd · CVSS 2.0

AV:N/AC:M/Au:N/C:C/I:C/A:C

Оценка вероятности EPSS

99,9 %

Высокий · следующие 30 дней

Процентиль: 100,0 %
Дата модели: 15 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

При работе в Windows с включённой опцией enableCmdLineArguments сервлет CGI в Apache Tomcat 9.0.0.M1–9.0.17, 8.5.0–8.5.39 и 7.0.0–7.0.93 уязвим к удалённому выполнению кода из-за ошибки в том, как JRE передаёт аргументы командной строки в Windows. Сервлет CGI по умолчанию отключён. Опция CGI enableCmdLineArguments по умолчанию отключена в Tomcat 9.0.x (и будет отключена по умолчанию во всех версиях в ответ на эту уязвимость). Подробное объяснение поведения JRE см. в блоге Markus Wulftange (https://codewhitesec.blogspot.com/2016/02/java-and-command-line-injections-in-windows.html) и в этом архивном блоге MSDN (https://web.archive.org/web/20161228144344/https://blogs.msdn.microsoft.com/twistylittlepassagesallalike/2011/04/23/everyone-quotes-command-line-arguments-the-wrong-way/).

Источники

Данные репозиториев: Файлы: 2 · Репозитории: 2

1 Модуль1 Шаблон

Apache Tomcat `CGIServlet` enableCmdLineArguments - Remote Code ExecutionШаблон
http/cves/2019/CVE-2019-0232.yaml
Nuclei Templates
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: 98ad1e0e66c3Связанный инструмент
Заявленные условия
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
Apache Tomcat CGIServlet enableCmdLineArguments VulnerabilityМодуль
modules/exploits/windows/http/tomcat_cgi_cmdlineargs.rb
Metasploit Framework modules
ЭксплойтНаблюдены доказательства: 26 сент. 2026 г.Ревизия: fa174ade81b5Связанный инструмент
Заявленные условия
- platform: Windows($.exploit_windows/http/tomcat_cgi_cmdlineargs.platform)
- verification: check_declared($.exploit_windows/http/tomcat_cgi_cmdlineargs.check)

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.