CVE-2024-50379

Podatność wynika z wyścigu (Race Condition) zachodzącego podczas kompilacji plików JSP. Atakujący może wykorzystać okno czasowe między momentem sprawdzenia pliku (time-of-check) a momentem jego użycia (time-of-use), aby podmienić lub zmanipulować plik na systemie plików nierozróżniającym wielkości liter. Skuteczny atak wymaga, aby domyślny serwlet (default servlet) był skonfigurowany z możliwością zapisu, co nie jest ustawieniem domyślnym. Poprzez sprytne operacje na plikach w tym oknie wyścigu możliwe jest doprowadzenie serwera do wykonania dostarczonego przez atakującego kodu.

Skuteczny atak pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu (RCE) na serwerze, co może prowadzić do pełnego przejęcia kontroli nad systemem, ujawnienia danych oraz naruszenia integralności i dostępności usług.

Należy zaktualizować Apache Tomcat do wersji 11.0.2, 10.1.34 lub 9.0.98, które zawierają poprawkę. Jeśli aktualizacja nie jest natychmiast możliwa, należy upewnić się, że domyślny serwlet (default servlet) nie ma włączonej obsługi zapisu (parametr readonly=true, co jest konfiguracją domyślną). Wersje 8.5.x są EOL i nie otrzymają oficjalnej poprawki — zalecana jest migracja do wspieranej gałęzi.

Apache Tomcat w wersjach: 11.0.0-M1 do 11.0.1, 10.1.0-M1 do 10.1.33, 9.0.0.M1 do 9.0.97. Wersja 8.5.0 do 8.5.100 (EOL) jest również podatna. Starsze wersje EOL mogą być również podatne. Podatność dotyczy wyłącznie systemów plików nierozróżniających wielkości liter z włączonym zapisem w domyślnym serwlecie.

Podatność dotyczy wyłącznie niestandardowej konfiguracji (default servlet z włączonym zapisem) oraz systemów plików nierozróżniających wielkości liter (np. Windows, macOS z domyślnym HFS+). Standardowe instalacje Linux z domyślną konfiguracją nie są zagrożone.