Lỗ hổng Apache Tomcat CVE-2024-56337 khiến máy chủ dễ bị tấn công RCE
Apache Software Foundation (ASF) đã phát hành bản cập nhật bảo mật để giải quyết lỗ hổng quan trọng trong phần mềm máy chủ Tomcat có thể dẫn đến thực thi mã từ xa (RCE) trong một số điều kiện nhất định.
Lỗ hổng bảo mật được theo dõi với tên gọi CVE-2024-56337 được mô tả là bản vá chưa hoàn chỉnh cho CVE-2024-50379 (điểm CVSS: 9,8), một lỗ hổng bảo mật nghiêm trọng khác trong cùng sản phẩm đã được giải quyết trước đó vào ngày 17 tháng 12 năm 2024.
"Người dùng chạy Tomcat trên hệ thống tệp không phân biệt chữ hoa chữ thường với chức năng ghi servlet mặc định được bật (tham số khởi tạo chỉ đọc được đặt thành giá trị không phải mặc định là false) có thể cần cấu hình bổ sung để giảm thiểu hoàn toàn CVE-2024-50379 tùy thuộc vào phiên bản Java họ đang sử dụng với Tomcat", những người bảo trì dự án cho biết trong một thông báo vào tuần trước.
Cả hai lỗi đều là lỗ hổng bảo mật về tình trạng chạy đua theo thời gian kiểm tra thời gian sử dụng ( TOCTOU ) có thể dẫn đến việc thực thi mã trên các hệ thống tệp không phân biệt chữ hoa chữ thường khi servlet mặc định được bật để ghi.
"Đọc và tải lên đồng thời khi tải cùng một tệp có thể bỏ qua kiểm tra phân biệt chữ hoa chữ thường của Tomcat và khiến tệp được tải lên được coi là JSP, dẫn đến thực thi mã từ xa", Apache lưu ý trong cảnh báo về CVE-2024-50379.
CVE-2024-56337 ảnh hưởng đến các phiên bản Apache Tomcat bên dưới -
- Apache Tomcat 11.0.0-M1 đến 11.0.1 (Đã sửa trong 11.0.2 trở lên)
- Apache Tomcat 10.1.0-M1 đến 10.1.33 (Đã sửa trong 10.1.34 trở lên)
- Apache Tomcat 9.0.0.M1 đến 9.0.97 (Đã sửa trong 9.0.98 trở lên)
Ngoài ra, người dùng được yêu cầu thực hiện các thay đổi cấu hình sau tùy thuộc vào phiên bản Java đang chạy -
- Java 8 hoặc Java 11 - Đặt rõ ràng thuộc tính hệ thống sun.io.useCanonCaches thành false (mặc định là true)
- Java 17 - Đặt thuộc tính hệ thống sun.io.useCanonCaches thành false nếu đã được đặt (mặc định là false)
- Java 21 trở lên - Không cần thực hiện hành động nào vì thuộc tính hệ thống đã bị xóa
ASF ghi nhận các nhà nghiên cứu bảo mật Nacl, WHOAMI, Yemoli và Ruozhi đã xác định và báo cáo cả hai thiếu sót. ASF cũng ghi nhận Nhóm KnownSec 404 đã báo cáo độc lập CVE-2024-56337 với mã bằng chứng khái niệm (PoC).
Việc tiết lộ này được đưa ra khi Sáng kiến Ngày thứ 0 (ZDI) chia sẻ thông tin chi tiết về lỗi nghiêm trọng trong Webmin (CVE-2024-12828, điểm CVSS: 9,9) cho phép kẻ tấn công từ xa đã xác thực thực thi mã tùy ý.
"Lỗi cụ thể này nằm trong quá trình xử lý các yêu cầu CGI", ZDI cho biết . "Vấn đề này xuất phát từ việc thiếu xác thực hợp lệ đối với chuỗi do người dùng cung cấp trước khi sử dụng nó để thực hiện lệnh gọi hệ thống. Kẻ tấn công có thể lợi dụng lỗ hổng này để thực thi mã trong ngữ cảnh của root".