Kritická zraniteľnosť vo webových serveroch Apache Tomcat

Vývojári open-source webového servera Apache Tomcat vydali bezpečnostné aktualizácie opravujúce 2 zraniteľnosti, z ktorých jedna je označená ako kritická. CVE-2024-50379 by vzdialený neautentifikovaný útočník mohol zneužiť na vzdialené vykonanie kódu.

Zraniteľné systémy:

  • Apache Tomcat 11.0.X vo verziách starších ako 11.0.2
  • Apache Tomcat 10.1.X vo verziách starších ako 10.1.34
  • Apache Tomcat 9.0.X vo verziách starších ako 9.0.98

Opis zraniteľnosti:

CVE-2024-50379 (CVSS skóre 9,8)

Kritická zraniteľnosť spočíva v TOCTOU (Time-of-Check Time-of-Use) súbehu procesov počas JSP kompilácie. CVE-2024-50379 by vzdialený neautentifikovaný útočník nahraním špeciálne vytvorených súborov mohol zneužiť na vzdialené vykonanie kódu a úplné narušenie dôvernosti, integrity a dostupnosti systému.

Zraniteľnosť je možné zneužiť len na súborových systémoch nerozlišujúcich malé a veľké písmená v názvoch súborov (tzv. case insensitive file systems), pokiaľ je v Default servlete parameter pre zákaz zápisu nastavený na hodnotu False, teda kde je povolený zápis.

CVE-2024-54677 (CVSS skóre 5,3)

Zraniteľnosť vo vzorových webových aplikáciách obsiahnutých v rámci inštalácií Apache Tomcat spočívajú v absencii limitov pre celkovú veľkosť nahrávaných súborov. Vzdialený neautentifikovaný útočník by ich mohol zneužiť na zahltenie pamäte a zneprístupnenie služby.

Možné škody:

  • Vzdialené vykonanie kódu
  • Nedostupnosť služby (DoS)

Odporúčania:

Odporúčame vykonať bezodkladnú aktualizáciu zraniteľných inštancií Apache Tomcat aspoň na verzie

  • Apache Tomcat 11.0.2
  • Apache Tomcat 10.1.34
  • Apache Tomcat 9.0.98

Zdroje: