در دسامبر ۲۰۲۴، آسیبپذیری مهمی با شناسه CVE-2024-50379 در Apache Tomcat شناسایی شد که میتواند به مهاجمان اجازه دهد کد مخرب را از راه دور اجرا کنند.
این آسیبپذیری ناشی از یک شرایط رقابتی زمان بررسی تا زمان استفاده (TOCTOU) در حین کامپایل صفحات JSP در Apache Tomcat است. در سیستمهای فایل حساس به حروف بزرگ و کوچک، زمانی که سرولت پیشفرض برای نوشتن فعال باشد (تنظیم readonly روی false)، مهاجمان میتوانند با آپلود فایلهای مخرب، کد دلخواه خود را اجرا کنند.
نسخههای تحت تأثیر:
- Apache Tomcat ۱۱.۰.۰-M1 تا ۱۱.۰.۱
- Apache Tomcat ۱۰.۱.۰-M1 تا ۱۰.۱.۳۳
- Apache Tomcat ۹.۰.۰.M1 تا ۹.۰.۹۷
- راهکارهای پیشنهادی:
- بهروزرسانی: به نسخههای ۱۱.۰.۲، ۱۰.۱.۳۴ یا ۹.۰.۹۸ یا نسخههای بالاتر ارتقاء دهید.
- تنظیمات Java: در صورت استفاده از Java ۸ یا ۱۱، مقدار
sun.io.useCanonCachesرا بهfalseتنظیم کنید. در Java ۱۷، اگر این مقدار تنظیم شده باشد، بایدfalseباشد. در Java ۲۱ و بالاتر، نیازی به تنظیم نیست. - پیکربندی سرولت پیشفرض: اطمینان حاصل کنید که پارامتر
readonlyدر سرولت پیشفرض رویtrueتنظیم شده باشد تا از نوشتن غیرمجاز جلوگیری شود.
یک نظر