CVE-2020-11996 — A specially crafted sequence of HTTP/2 requests sent to Apache Tomcat 10.0.0-M1 to…
A specially crafted sequence of HTTP/2 requests sent to Apache Tomcat 10.0.0-M1 to 10.0.0-M5, 9.0.0.M1 to 9.0.35 and 8.5.0 to 8.5.55 could trigger high CPU usage for several seconds. If a sufficient number of such requests were made on concurrent HTTP/2 connections, the server could become unresponsive.
Descrição oficial em inglês (tradução ainda não revisada).
Quem explora e qual a prioridade
Nota de 0 a 100 que combina exploração confirmada, uso por ransomware e grupos APT, exploits públicos, EPSS e severidade.
Como a nota foi calculada
- EPSS 26.7% (probabilidade de exploração em 30 dias)+15
- Severidade técnica (high)+6
- Exploração automatizável (SSVC)+3
A nota ordena a fila de correção; não substitui o contexto dos seus ativos (exposição à internet, criticidade, compensações).
Triagem
Está sendo explorada, qual a probabilidade de exploração, o que afeta e qual a severidade segundo as fontes.
Avaliação SSVC da CISA CISA
Três pontos de decisão que a CISA publica para as CVEs que avalia (SSVC 2.0.3). Uma decisão de priorização, não uma nota de severidade.
Remediação
Correções e mitigações documentadas pelas fontes — com link para o aviso original.
Nenhuma correção documentada pelas fontes consultadas. Isso não significa que não exista: verifique o aviso do fabricante.
Primeiras 24 horas
Ordenado a partir dos próprios campos do registro — exposição primeiro, porque não se corrige o que não se encontrou. Ponto de partida, gerado por regras.
- Identifique ativos expostos que executam as combinações de fabricante/produto/versão afetadas (Apache Software Foundation Tomcat, Canonical Ubuntu Linux, Debian Debian Linux…).
- O ataque é pela rede e não exige privilégios: restrinja a exposição (ACLs, VPN, WAF) até corrigir.
- Nenhuma correção documentada nas fontes: reduza a exposição e monitore o aviso do fabricante.
- EPSS acima de 98% das CVEs pontuadas: priorize na fila de correção.
- Procure nos logs disponíveis sinais de tentativa de exploração, erros e anomalias de autenticação.
Escopo afetado
Fabricante, produto e versões como as fontes os descrevem.
| Fabricante | Produto | Versões | Status | Fonte |
|---|---|---|---|---|
| Apache Software Foundation | Tomcat |
versão 9.0.0-milestone7versão 9.0.0-milestone23versão 9.0.0-milestone24versão 9.0.0-milestone25versão 9.0.0-milestone26versão 9.0.0-milestone27versão 9.0.0-milestone3versão 9.0.0-milestone4 e mais 26versão 9.0.0-milestone5versão 9.0.0-milestone6versão 9.0.0-milestone22versão 9.0.0-milestone8versão 9.0.0-milestone9versão 10.0.0-milestone1versão 10.0.0-milestone2versão 10.0.0-milestone3versão 10.0.0-milestone4versão 10.0.0-milestone5versão 9.0.0-milestone14≥ 8.5.0 e ≤ 8.5.55≥ 9.0.0 e ≤ 9.0.35versão 9.0.0-milestone1versão 9.0.0-milestone10versão 9.0.0-milestone11versão 9.0.0-milestone12versão 9.0.0-milestone13versão 9.0.0-milestone15versão 9.0.0-milestone16versão 9.0.0-milestone17versão 9.0.0-milestone18versão 9.0.0-milestone19versão 9.0.0-milestone2versão 9.0.0-milestone20versão 9.0.0-milestone21 |
Vulnerável | NIST National Vulnerability Database |
| Apache Software Foundation | Tomcat | versão 10.0.0-M1 to 10.0.0-M5versão 9.0.0.M1 to 9.0.35versão 8.5.0 to 8.5.55 | Vulnerável | CVE Program (cve.org) e CISA ADP |
| Canonical | Ubuntu Linux | versão 20.04 | Vulnerável | NIST National Vulnerability Database |
| Debian | Debian Linux | versão 10.0versão 9.0 | Vulnerável | NIST National Vulnerability Database |
| Netapp | Oncommand System Manager | versão 3.0versão 3.1.3 | Vulnerável | NIST National Vulnerability Database |
| Opensuse | Leap | versão 15.1versão 15.2 | Vulnerável | NIST National Vulnerability Database |
| Oracle | Mysql Enterprise Monitor | ≤ 8.0.21 | Vulnerável | NIST National Vulnerability Database |
| Oracle | Siebel Ui Framework | ≤ 20.12 | Vulnerável | NIST National Vulnerability Database |
| Oracle | Workload Manager | versão 12.2.0.1versão 18cversão 19c | Vulnerável | NIST National Vulnerability Database |
Características do ataque
O vetor CVSS decodificado. Descreve o ataque, não a sua exposição a ele.
Todas as pontuações coletadas
As fontes pontuam de forma independente e podem discordar; cada linha diz quem pontuou e em qual versão.
| Nota | Versão | Severidade | Explor. | Impacto | Pontuado por |
|---|---|---|---|---|---|
| 7.5 | CVSS 3.1 | Alta | 3.9 | 3.6 | nvd@nist.gov via NIST National Vulnerability Database |
| 5.0 | CVSS 2.0 | Média | 10.0 | 2.9 | nvd@nist.gov via NIST National Vulnerability Database |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H (nota exibida no topo: nvd@nist.gov) EPSS ao longo do tempo FIRST
13/10/2026 → 14/10/2026 · 2 leitura(s) · máximo 26.70%
Detecção
Derivado do vetor CVSS e da classe da fraqueza. Pontos de partida, não regras testadas.
- Priorize telemetria de borda para o componente exposto na rede (proxy, WAF, IDS/IPS).
Linha do tempo
O que aconteceu com esta CVE, do mais recente ao mais antigo.
- 2026
- Produtos afetados adicionados · apache/apache tomcat
- Avaliação SSVC atualizada
- Ficha publicada
- CVSS alterado · 7.5
- Status na fonte alterado · → Modified
- Registro criado nesta base
- 2020
- CVE publicada
Atividade das fontes
Leituras que se repetem foram contadas em vez de listadas.
- 1× Descrição oficial atualizada · 13/10/2026 – 13/10/2026
Referências
24 no registro
- lists.apache.org/thread.html/r5541ef6b6b68b49f76fc4c45695940116da2bcbe0312ef204a00a2e0
- lists.apache.org/thread.html/r9ad911fe49450ed9405827af0e7a74104041081ff91864b1f2546bbd
- lists.apache.org/thread.html/r6c29801370a36c1a5159679269777ad0c73276d3015b8bbefea66e5c
- lists.apache.org/thread.html/r5a4f80a6acc6607d61dae424b643b594c6188dd4e1eff04705c10db2
- lists.apache.org/thread.html/r8f3d416c193bc9384a8a7dd368623d441f5fcaff1057115008100561
- www.debian.org/security/2020/dsa-4727
- usn.ubuntu.com/4596-1/
- lists.apache.org/thread.html/r3ea96d8f36dd404acce83df8aeb22a9e807d6c13ca9c5dec72f872cd
- lists.opensuse.org/opensuse-security-announce/2020-07/msg00064.html
- security.netapp.com/advisory/ntap-20200709-0002/
- www.oracle.com/security-alerts/cpujan2021.html
- lists.opensuse.org/opensuse-security-announce/2020-07/msg00072.html
- lists.apache.org/thread.html/rea65d6ef2e45dd1c45faae83922042732866c7b88fa109b76c83db52
- lists.apache.org/thread.html/rb820f1a2a02bf07414be12c653c2ab5321fd87b9bf6c5e635c53ff4b
- lists.apache.org/thread.html/ref0339792ac6dac1dba83c071a727ad72380899bde60f6aaad4031b9
- lists.apache.org/thread.html/ra7092f7492569b39b04ec0decf52628ba86c51f15efb38f5853e2760
- www.oracle.com/security-alerts/cpuoct2020.html
- lists.apache.org/thread.html/rc80b96b4b96618b2b7461cb90664a428cfd6605eea9f74e51b792542
- lists.apache.org/thread.html/r2529016c311ce9485e6f173446d469600fdfbb94dccadfcd9dfdac79
- lists.apache.org/thread.html/rb4ee49ecc4c59620ffd5e66e84a17e526c2c3cfa95d0cd682d90d338
- lists.debian.org/debian-lts-announce/2020/07/msg00010.html
- lists.apache.org/thread.html/r8f7484589454638af527182ae55ef5b628ba00c05c5b11887c922fb1
- lists.apache.org/thread.html/r74f5a8204efe574cbfcd95b2a16236fe95beb45c4d9fee3dc789dca9
- lists.apache.org/thread.html/r93ca628ef3a4530dfe5ac49fddc795f0920a4b2a408b57a30926a42b
Em outras páginas do site
CVEs relacionadas (mesmos produtos)
- Alta CVE-2026-12996 A use-after-free in OpenVPN 2.6.0 through 2.6.20 and 2.7_alpha1 through 2.7.4 allows remote... 30/07/2026
- Média CVE-2026-55956 Apache Tomcat: Security constraints for default servlet ignored method 29/06/2026
- Média CVE-2026-55955 Apache Tomcat: EncryptInterceptor not protected against replay attacks 29/06/2026
- Crítica CVE-2026-55276 Apache Tomcat: fluxo de controle incorreto no log do web.xml efetivo 29/06/2026
- Alta CVE-2026-55957 Apache Tomcat: Authentication bypass with JNDIRealm and GSSAPI authenticated bind 29/06/2026
- Alta CVE-2026-53404 Apache Tomcat: Bad ornext processing in RewriteValve 29/06/2026
Não consta em nenhuma fonte consultada
Listado em vez de deixado em branco: um campo vazio e um não medido parecem iguais na tela, e só um deles é motivo para procurar em outro lugar.
- Nenhuma versão corrigida, patch ou mitigação documentada.
- Sem classificação CWE.
- Nenhum IOC confirmado (IPs, domínios, hashes ou artefatos de malware) fornecido.
- Nenhum inventário de ativos, controle compensatório ou evidência de implantação de patch da sua organização.
- Nenhuma captura de tráfego de exploração, amostra de log ou caso de incidente.
Respondido a partir deste registro
Texto montado apenas com os campos acima — sem afirmações adicionais.
O que os defensores devem saber primeiro?
CVE-2020-11996 é "A specially crafted sequence of HTTP/2 requests sent to Apache Tomcat 10.0.0-M1 to…", de severidade Alta. Afeta Tomcat (Apache Software Foundation); as versões estão na tabela de escopo. Não está na CISA KEV, o que não exclui exploração. CVSS 7.5 descreve a severidade técnica. EPSS 26.70% estima a probabilidade de exploração em 30 dias; nenhum dos dois substitui o contexto dos seus ativos. Verifique primeiro se ativos expostos ou críticos executam as versões afetadas, aplique as correções ou mitigações do fabricante e preserve logs para análise.
Comentários
Discussão técnica moderada. Leia as regras da comunidade.
Nenhum comentário ainda.
Entre ou crie uma conta para comentar e sugerir correções.