یک آسیب‌پذیری امنیتی در کتابخانه Apache Tomcat Native شناسایی شده است که به دلیل مقداردهی اولیه منابع با تنظیمات پیش‌فرض ناامن (Insecure Default) رخ می‌دهد. این نقص امنیتی باعث می‌شود برخی گزینه‌های حساس به صورت پیش‌فرض فعال باشند و امنیت ارتباطات را به مخاطره بیندازند.
جزئیات فنی آسیب‌پذیری
در نسخه‌های آسیب‌پذیر، گزینه‌های زیر به صورت پیش‌فرض فعال هستند که می‌تواند منجر به کاهش سطح امنیت در لایه انتقال داده شود:
- ALLOW_CLIENT_RENEGOTIATION: اجازه باز مذاکره (Renegotiation) توسط کلاینت.
- NO_EXTENDED_MASTER_SECRET: عدم استفاده از Master Secret گسترش‌یافته.
- IGNORE_UNEXPECTED_EOF: نادیده گرفتن پایان غیرمنتظره فایل (EOF).
- ALLOW_NO_DHE_KEX: اجازه تبادل کلید بدون استفاده از Diffie-Hellman Ephemeral.
نسخه‌های تحت تأثیر
این مشکل نسخه‌های زیر را تحت تأثیر قرار می‌دهد:
- نسخه‌های 2.0.0 تا 2.0.15
- نسخه‌های 1.3.0 تا 1.3.8
- همچنین احتمال می‌رود نسخه‌های قدیمی‌تر و پشتیبانی‌نشده نیز آسیب‌پذیر باشند.
راهکار اصلاحی
به کاربران توصیه می‌شود در سریع‌ترین زمان ممکن برای رفع این مشکل، کتابخانه Apache Tomcat Native را به نسخه‌های 2.0.16 یا 1.3.9 ارتقا دهند.
