Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Apache Tomcat opravuje 1 zranitelnost
Apache opravuje zranitelnost v produktu Tomcat [1]. Zranitelnost vznikla kvůli nedostatečné opravě zranitelnosti CVE-2024-50379 [2]. Pro opravu je nutné aktualizovat na verzi 11.0.2, 10.1.34 nebo 9.0.98 [1] a následně upravit konfiguraci: pokud používáte Java 8 nebo 11 - nastavit sun.io.useCanonCaches na false [3][4][5] pokud používáte Java 17 - pokud používáte sun.io.useCanonCaches, nastavit na false [4][5] pokud používáte Java 21 - není nutná změna konfigurace [4][5]
Útočníkovi je nahráním souboru a zneužitím TOCTOU chyby umožněno provádět kód. Zranitelnost je zneužitelná pouze na operačních systémech nerozlišujících velikost písmen (case insensitive) a u výchozích servletů s povoleným zápisem (readonly = false) [1].
Zranitelnost se nachází v produktu:
- Apache Tomcat; >=11.0.0-M1, <11.0.2; >=10.1.0-M1, <10.1.34; >=9.0.0.M1, <9.0.98;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-56337 na cve.org, NVD
- CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition na cwe.mitre.org
Zranitelnost byla veřejně oznámena 20. 12. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 7. 1. 2025.