Apache fixează bypassul de executare a codului la distanță în serverul web Tomcat

Apache a lansat o actualizare de securitate care abordează o vulnerabilitate importantă în serverul web Tomcat care ar putea duce la un atacator să obțină executarea de cod la distanță.

Apache Tomcat este un server web și un container servlet open-source utilizat pe scară largă pentru a desfășura și rula aplicații web bazate pe Java. Oferă un mediu de execuție pentru Servlets Java, JavaServer Pages (JSP) și tehnologii Java WebSocket.

Produsul este popular în rândul marilor întreprinderi care rulează aplicații web personalizate, furnizori SaaS care se bazează pe Java pentru serviciile backend. Serviciile de cloud și de găzduire integreazăTomcat pentru găzduirea aplicațiilor și dezvoltatorii de software îl folosesc pentru a construi, testa și desfășura aplicații web.

Vulnerabilitatea rezolvată în noua versiune este identificată ca CVE-2024-56337 și abordează o mitigare incompletă pentru CVE-2024-50379, o execuție critică de cod la distanță (RCE), pentru care furnizorul a lansat un patch incomplet la 17 decembrie.

Problema de securitate este o vulnerabilitate de condiție de cursă time-of-check time-of-use (TOCTOU) care afectează sistemele cu scrierea implicită a servletului activată (‘readonly’ parametrul de inițializare setat pe false) și care rulează pe sisteme de fișiere insensibile la caz.

Problema afectează Apache Tomcat 11.0.0-M1 până la 11.0.1, 10.1.0-M1 până la 10.1.33 și 9.0.0.M1 până la 9.0.97.

Utilizatorii ar trebui să facă upgrade la cele mai recente versiuni Tomcat: 11.0.2, 10.1.34 și 9.0.98.

Abordarea problemei necesită pași suplimentari. În funcție de versiunea Java utilizată, utilizatorii trebuie să efectueze următoarele acțiuni, pe lângă upgrade:

Echipa Apache a împărtășit planuri pentru îmbunătățiri de securitate în versiunile viitoare ale lui Tomcat, 11.0.3, 10.1.35 și 9.0.99.

În mod specific, Tomcat va verifica că ‘sun.io.useCanonCaches’ este setat corect înainte de a activa accesul de scriere pentru servletul implicit pe sistemele de fișiere insensibile la caz, și va seta implicit ‘sun.io.useCanonCaches’ pe false acolo unde este posibil.

Aceste modificări au ca scop impunerea automată a configurațiilor mai sigure și reducerea riscului de exploatare a CVE-2024-50379 și CVE-2024-56337.