FICHE CVE

CVE-2022-23181

Publiée le 2022-01-27 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs Apache Tomcat configurés pour persister les sessions via le FileStore sont concernés. Un utilisateur local disposant d'un accès limité au système peut exploiter une faille de synchronisation (timing flaw) pour exécuter des actions avec les privilèges complets du processus Tomcat. Cette opération est difficile à réaliser et nécessite que l'attaquant possède déjà un compte sur le serveur.

CVSS 3.17.0 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2022-01-27

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueÉlevée

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The fix for bug CVE-2020-9484 introduced a time of check, time of use vulnerability into Apache Tomcat 10.1.0-M1 to 10.1.0-M8, 10.0.0-M5 to 10.0.14, 9.0.35 to 9.0.56 and 8.5.55 to 8.5.73 that allowed a local attacker to perform actions with the privileges of the user that the Tomcat process is using. This issue is only exploitable when Tomcat is configured to persist sessions using the FileStore.