PT-2024-9579 · Apache+11 · Apache Tomcat+11
Nacl
+3
·
Publicado
2024-03-05
·
Atualizado
2026-05-29
·
CVE-2024-50379
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do Apache Tomcat anteriores à 11.0.2, 10.1.34 ou 9.0.98.
Descrição
A vulnerabilidade de condição de corrida Time-of-check Time-of-use (TOCTOU) durante a compilação de JSP no Apache Tomcat permite um RCE em sistemas de arquivos que não diferenciam maiúsculas de minúsculas quando o servlet padrão está habilitado para gravação (configuração não padrão). Este problema afeta o Apache Tomcat: das versões 11.0.0-M1 a 11.0.1, das versões 10.1.0-M1 a 10.1.33 e das versões 9.0.0.M1 a 9.0.97. Recomenda-se que os usuários atualizem para a versão 11.0.2, 10.1.34 ou 9.0.98, que corrige o problema.
Recomendações
-
Atualize o Apache Tomcat para as versões 11.0.2+, 10.1.34+ ou 9.0.98+ para corrigir as vulnerabilidades CVE-2024-50379 e CVE-2024.
-
Restrinja temporariamente o acesso de gravação ao servlet padrão se não for possível realizar a atualização imediatamente.
-
Desative o aplicativo web “examples” no Apache Tomcat para se proteger contra a vulnerabilidade.
-
Defina a propriedade do sistema sun.io.useCanonCaches como false se estiver usando Java 8 ou Java 11.
-
Defina a propriedade do sistema sun.io.useCanonCaches como false se estiver usando Java 17.
-
Não é necessária nenhuma configuração adicional para o Java 21 em diante.
-
O Tomcat 11.0.3, 10.1.35 e 9.0.99 em diante incluirá verificações para garantir que sun.io.useCanonCaches esteja definido corretamente antes de permitir que o servlet padrão tenha permissão de gravação em um sistema de arquivos que não distingue maiúsculas de minúsculas. O Tomcat também definirá sun.io.useCanonCaches como false por padrão, sempre que possível.
Exploit
Correção
RCE
DoS
Time Of Check To Time Of Use
Race Condition
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Apache Tomcat
Astra Linux
Centos
Confluence
Linuxmint
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu