Versiones Afectadas:

Apache Tomcat
 9.0.0.M1 to 9.0.17
8.5.0 to 8.5.39
7.0.0 to 7.0.93

 

Descripción: Cuando se ejecuta en Windows con enableCmdLineArguments activado, el Servlet CGI es vulnerable a una ejecución remota de código (RCE) debido a un error en la forma en que el JRE pasa a windows los argumentos de la línea de comandos. El Servlet CGI está deshabilitado por defecto.La opción de CGI enableCmdLineArguments está desactivada por defecto en Tomcat 9.0.x. 

 

Solución: Actualizar

A la versión 7.0.94 o superior
A la versión 8.5.40 o superior
A la versión 9.0.19 o superior

 

Referencias:

http://mail-archives.us.apache.org/mod_mbox/www-announce/201904.mbox/%3C13d878ec-5d49-c348-48d4-25a6c81b9605%40apache.org%3E

http://tomcat.apache.org/security-9.html

http://tomcat.apache.org/security-8.html

http://tomcat.apache.org/security-7.html