CVE-2025-31650
Publiée le 2025-04-28 · Dernière modification le 2026-06-17
Les serveurs Apache Tomcat (versions 8.5, 9.0, 10.1 et 11.0) sont susceptibles de présenter une fuite de mémoire causée par une mauvaise gestion des en-têtes de priorité HTTP. Un attaquant non authentifié disposant d'un accès réseau peut provoquer le plantage du serveur en envoyant un volume important de ces requêtes malformées, entraînant ainsi un déni de service. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exécution est relativement simple.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper Input Validation vulnerability in Apache Tomcat. Incorrect error handling for some invalid HTTP priority headers resulted in incomplete clean-up of the failed request which created a memory leak. A large number of such requests could trigger an OutOfMemoryException resulting in a denial of service. This issue affects Apache Tomcat: from 9.0.76 through 9.0.102, from 10.1.10 through 10.1.39, from 11.0.0-M2 through 11.0.5. The following versions were EOL at the time the CVE was created but are known to be affected: 8.5.90 though 8.5.100. Users are recommended to upgrade to version 9.0.104, 10.1.40 or 11.0.6 which fix the issue.