[TLP:CLEAR] Apache Tomcat opravuje 1 zraniteľnosť
Apache opravuje zraniteľnosť v produkte Tomcat [1]. Zraniteľnosť vznikla kvôli nedostatočnej oprave zraniteľnosti CVE-2024-50379 [2]. Pre opravu je potrebné aktualizovať na verziu 11.0.2, 10.1.34 alebo 9.0.98 [1] a nasledovne upraviť konfiguráciu: ak používate Java 8 alebo 11 - nastaviť sun.io.useCanonCaches na false [3][4][5] ak používate Java 17 - ak používate sun.io.useCanonCaches, nastaviť na false [4][5] ak používate Java 21 - nie je potrebné zmena konfigurácie [4][5]
Útočníkovi je nahratím súboru a zneužitím TOCTOU chyby umožnené vykonávať kód. Zraniteľnosť je zneužiteľná iba na operačných systémoch nerozlišujúcich veľkosť písmen (case insensitive) a u defaultných servletov s povoleným zápisom (readonly = false) [1].
Zraniteľnosť sa nachádza v produkte:
- Apache Tomcat; >=11.0.0-M1, <11.0.2; >=10.1.0-M1, <10.1.34; >=9.0.0.M1, <9.0.98;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-56337 na cve.org, NVD
- CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 20. 12. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dňa 7. 1. 2025.