CVE-2020-1938
Apache Tomcat · Serveurs web et applicatifs
Apache Tomcat Improper Privilege Management Vulnerability
En bref
Exploitée. Ajoutée au catalogue des failles exploitées de la CISA le 3 mars 2022.
Produit touché : Apache Tomcat (catégorie Serveurs web et applicatifs, classement indicatif). Nom au catalogue de la CISA : Apache Tomcat.
Que faire ?
Installez la mise à jour de sécurité d’Apache.
Délai fixé par la CISA aux agences fédérales américaines : 14 jours (échéance le 17 mars 2022). Il ne s’impose pas en France, mais c’est un repère d’urgence.
- Page des avis de sécurité de Apache (page générale, pas l’avis de cette faille)
- Le bulletin précis de la marque figure dans les références de la NVD : CVE-2020-1938 sur le site de la NVD.
Texte original de la consigne (CISA, en anglais)
Apply updates per vendor instructions.
Chronologie
- Faille publiée Date de publication (NVD)
- Exploitation reconnue Ajout au catalogue KEV de la CISA
- Échéance CISA Date limite de correction fixée aux agences fédérales américaines
Les faits, avec leur source
- Exploitation reconnue
- Oui, le 3 mars 2022 Date d’ajout au catalogue des failles exploitées. L’exploitation elle-même peut être antérieure. Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
- Rançongiciel
- Aucune utilisation connue à ce jour Cela ne garantit pas qu’elle ne soit pas utilisée : l’information n’est pas publique. Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
- Recherche de compromission
- Non demandée par la CISA Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
- Consigne de la CISA
- Installez la mise à jour de sécurité d’Apache. Traduction du site, d’après le texte original de la CISA. Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
- Échéance CISA
- 17 mars 2022, délai de 14 jours Fixée aux agences fédérales américaines : un repère d’urgence, pas une obligation en France. Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
- Publication de la faille
- 24 février 2020 Source : National Vulnerability Database (NVD), collectée le 29 septembre 2026 à 15:00 UTC
- Produit selon la CISA
- Apache Tomcat Rangé par le site dans la catégorie « Serveurs web et applicatifs » (classement indicatif). Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
- Vecteur CVSS
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H Détail technique de la note : mode d’attaque, complexité, impacts. Source : National Vulnerability Database (NVD), collectée le 29 septembre 2026 à 15:00 UTC
Gravité et activité
Modèle EPSS de FIRST. L’exploitation étant déjà avérée, ce chiffre sert surtout à comparer l’activité. Collecté le 29/09/2026.
Description
When using the Apache JServ Protocol (AJP), care must be taken when trusting incoming connections to Apache Tomcat. Tomcat treats AJP connections as having higher trust than, for example, a similar HTTP connection. If such connections are available to an attacker, they can be exploited in ways that may be surprising. In Apache Tomcat 9.0.0.M1 to 9.0.0.30, 8.5.0 to 8.5.50 and 7.0.0 to 7.0.99, Tomcat shipped with an AJP Connector enabled by default that listened on all configured IP addresses. It was expected (and recommended in the security guide) that this Connector would be disabled if not required. This vulnerability report identified a mechanism that allowed: - returning arbitrary files from anywhere in the web application - processing any file in the web application as a JSP Further, if the web application allowed file upload and stored those files within the web application (or the attacker was able to control the content of the web application by some other means) then this, along with the ability to process a file as a JSP, made remote code execution possible. It is important to note that mitigation is only required if an AJP port is accessible to untrusted users. Users wishing to take a defence-in-depth approach and block the vector that permits returning arbitrary files and execution as JSP may upgrade to Apache Tomcat 9.0.31, 8.5.51 or 7.0.100 or later. A number of changes were made to the default AJP Connector configuration in 9.0.31 to harden the default configuration. It is likely that users upgrading to 9.0.31, 8.5.51 or 7.0.100 or later will need to make small changes to their configurations.
Description officielle, en anglais, de la NVD, collectée le 29/09/2026. Description CVE® © The MITRE Corporation.
Apache Tomcat treats Apache JServ Protocol (AJP) connections as having higher trust than, for example, a similar HTTP connection. If such connections are available to an attacker, they can be exploited.
Résumé de la CISA (catalogue KEV), en anglais.
Avis du CERT-FR
Aucun avis parmi les dernières publications du CERT-FR suivies par ce site. Cela ne veut pas dire qu’il n’en existe pas.
Informations réutilisées sous Licence Ouverte 2.0 (Etalab), date de dernière mise à jour indiquée à chaque avis. Ce site n'est ni affilié à l'ANSSI ni approuvé par elle.
Sources de cette fiche
- Catalogue KEV de la CISA : exploitation, date d’ajout, consigne, échéance, rançongiciel.
- NVD (NIST) : gravité CVSS, date de publication, description, références de la marque.
- EPSS (FIRST) : probabilité d’exploitation.
- CERT-FR : avis et alertes.
- Marque et catégorie : classement indicatif du site (méthode).