CVE-2025-49124

highPriorität · verfolgen · 0EPSS 0.004 · 29. PerzentilDEEUNLRUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.36% (29th) EPSS

CVSS 8.4 · high

Is it mine?

84 products

Prüfe deine Angriffsfläche

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-23

Untrusted Search Path vulnerability in Apache Tomcat installer for Windows. During installation, the Tomcat installer for Windows used icacls.exe without specifying a full path. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.7, from 10.1.0 through 10.1.41, from 9.0.23 through 9.0.105. The following versions were EOL at the time the CVE was created but are known to be affected: 8.5.0 through 8.5.100 and 7.0.95 through 7.0.109. Other EOL versions may also be affected. Users are recommended to upgrade to version 11.0.8, 10.1.42 or 9.0.106, which fix the issue.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

8.4

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.18.4highAV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.18.4highCVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · ENISA EU

v3.18.4highCVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HsecondaryAusnutzbarkeit 2.5 · Auswirkung 5.9

v3.17.7highCVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Usecondary · CVSS-BT (t0sche)

v3.18.4highCVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · NCSC-NL NL

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-426USCWE-426USCWE-426USCWE-426US

betroffene Produkte (84)

Betroffene Produkte und Versionsbereiche.

Absolute Secure Access <13.56alle Versionencert_bundDE
Amazon Linux 2alle Versionencert_bundDEcpe:/o:amazon:linux_2:-
Apache Tomcat <10.1.42alle Versionencert_bundDE
Apache Tomcat <11.0.8alle Versionencert_bundDE
Apache Tomcat <9.0.106alle Versionencert_bundDE
Atlassian Bitbucket <8.19.21 LTSalle Versionencert_bundDE
Atlassian Bitbucket <9.4.9 LTSalle Versionencert_bundDE
Atlassian Bitbucket <9.6.5alle Versionencert_bundDE
Atlassian Jira <10.3.8 (LTS)alle Versionencert_bundDE
Atlassian Jira <10.7.2alle Versionencert_bundDE
Atlassian Jira <9.12.25 (LTS)alle Versionencert_bundDE
Debian Linuxalle Versionencert_bundDEcpe:/o:debian:debian_linux:-
Dell NetWorker Management Console <19.13.0.2alle Versionencert_bundDE
Dell NetWorker Management Web UI <19.13.0.2alle Versionencert_bundDE
Dell PowerProtect Data Domainalle Versionencert_bundDEcpe:/a:dell:powerprotect_data_domain:-
Dell Secure Connect Gateway <5.34.00.16alle Versionencert_bundDE
Dell Secure Connect Gateway Appliance <5.32.00.18alle Versionencert_bundDE
HCL Commerce <9.1.18.2alle Versionencert_bundDE
Hitachi Ops Centeralle Versionencert_bundDEcpe:/a:hitachi:ops_center:-
IBM FlashSystemalle Versionencert_bundDEcpe:/a:ibm:flashsystem:-

20 von 84 angezeigt

Advisories (5)

Hersteller- und Ökosystem-Meldungen dazu.

NCSC-2025-0195Kwetsbaarheden verholpen in Apache TomcatNL2025-06-18csaf · ncsc_nlNL
Apache heeft kwetsbaarheden verholpen in Apache Tomcat (Specifiek voor versies 11.0.0-M1 tot 11.0.7, 10.1.0-M1 tot 10.1.41, en 9.0.0-M1 tot 9.0.105).
WID-SEC-W-2025-1335Apache Tomcat: Mehrere SchwachstellenDeutsch2025-06-16csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Apache Tomcat ausnutzen, um einen Denial of Service Angriff durchzuführen, um Code auszuführen und um Sicherheitsmechanismen zu umgehen.
WID-SEC-W-2026-2189Dell PowerProtect Data Domain: Mehrere SchwachstellenDeutsch2026-07-02csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Dell PowerProtect Data Domain ausnutzen, um seine Privilegien zu erhöhen um beliebigen Programmcode auszuführen, um Sicherheitsvorkehrungen zu umgehen, um einen Denial of Service Angriff durchzuführen, um einen Cross-Site Scripting Angriff durchzuführen, um Informationen offenzulegen, und um Dateien zu manipulieren.
GHSA-42wg-hm62-jcwgApache Tomcat installer for Windows has an untrusted search path vulnerability2025-06-16ghsa · osvUS
Untrusted Search Path vulnerability in Apache Tomcat installer for Windows. During installation, the Tomcat installer for Windows used icacls.exe without specifying a full path. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.7, from 10.1.0 through 10.1.41, from 9.0.23 through 9.0.105. Users are recommended to upgrade to version 11.0.8, 10.1.42 or 9.0.106, which fix the issue.
BIT-tomcat-2025-49124Apache Tomcat: exe side-loading via icalcs.exe in Tomcat installer for Windows2025-06-20vendor · osvUS
Untrusted Search Path vulnerability in Apache Tomcat installer for Windows. During installation, the Tomcat installer for Windows used icacls.exe without specifying a full path. This issue affects Apache Tomcat: from 11.0.0 through 11.0.7, from 10.1.0 through 10.1.41, from 9.0.23 through 9.0.105. The following versions were EOL at the time the CVE was created but are known to be affected: 8.5.0 through 8.5.100 and 7.0.95 through 7.0.109. Other EOL versions may also be affected. Users are recommended to upgrade to version 11.0.8, 10.1.42 or 9.0.106, which fix the issue.

auch bekannt als (6)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu osv cert_bund ncsc_nl NVD CVE.org MITRE

veröffentlicht 2025-06-16geändert 2026-06-17

Referenzen (8)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan