Раскрыта информация об опасной уязвимости (CVE-2013-4444) в контейнере для выполнения JSP-страниц и Java-сервлетов Apache Tomcat, позволяющей неаутентифицированнму злоумышленнику организовать удалённое выполнение кода на сервере. При определённом стечении обстоятельств атакующий может загрузить произвольный JSP-код на сервер и инициировать его выполнение. Необходимым условием для проведения атаки является использование в приложении функциональности Servlet 3.0 File Upload, включение JmxRemoteListener, который выключен по умолчанию, и его доступность на внешнем IP. Полноценная эксплуатация возможна вкупе с уязвимостью в классе java.io.File, которая присутствует в Oracle Java 1.7.0 update 25 и более ранних выпусках.

Проблема проявляется в выпусках Apache Tomcat с 7.0.0 по 7.0.39 и была устранена в Tomcat 7.0.40 без сообщения о наличии уязвимости. В настоящее время на странице со списком исправлений в Tomcat 7.0.40 присутствуют сведения об уязвимости, но судя по копии на web.archive.org, сделанной несколько дней назад, данные о проблеме добавлены задним числом. Исправление в 2013 году внесено под видом чистки неиспользуемого кода.