Kwetsbaarheid verholpen in Apache Tomcat

Deze pagina zet de platte tekst van officiële advisories automatisch om naar HTML. Hierbij kan mogelijk informatie verloren gaan. De Signed PGP-versies zijn leidend.
Publicatie Kans Schade    
  Versie 1.00 17-03-2025 NCSC-2025-0089  
 
medium
high
Signed-PGP →
CSAF →
PDF →
 
17-03-2025
medium
high
NCSC-2025-0089 [1.00] Signed-PGP →
Text, CSAF (sig), PDF
Kenmerken

Kenmerken

  • Deserialization of Untrusted Data
  • Path Equivalence: 'file.name' (Internal Dot)
  • Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')
Omschrijving

Omschrijving

Apache heeft een kwetsbaarheid verholpen in Apache Tomcat (Specifiek voor versies 11.0.0-M1 tot 11.0.2, 10.1.0-M1 tot 10.1.34, en 9.0.0.M1 tot 9.0.98). De kwetsbaarheid bevindt zich in de manier waarop de server omgaat met HTTP PUT-verzoeken. Door een kwaadaardig PUT-verzoek te sturen, kan een aanvaller willekeurige bestanden uploaden en uiteindelijk remote code execution (RCE) verkrijgen. Dit stelt hen in staat om volledige controle over de server te krijgen Deze kwetsbaarheid wordt momenteel actief misbruikt in aanvallen, wat de urgentie van het aanpakken van dit beveiligingsprobleem in getroffen implementaties onderstreept.

Bereik

Bereik

Platforms Producten Versies

Apache Software Foundation Apache Tomcat
Apache Tomcat
Debian tomcat10
Debian tomcat9
Red Hat Red Hat Enterprise Linux 8
Red Hat pki-servlet-engine
Red Hat tomcat
Red Hat tomcat6
SUSE SUSE openSUSE

  1. - 7 - 6 - 8 - <10.1.35 - <11.0.3 - <9.0.99 - 10.1.0-m1|<=10.1.34 - 11.0.0-m1|<=11.0.2 - 9.0.0.m1|<=9.0.98 - 9.0.70-2
Oplossingen

Oplossingen

Apache heeft updates uitgebracht om de kwetsbaarheid te verhelpen. Zie bijgevoegde referenties voor meer informatie. [Link]

CVE’s

CVE’s

CVE-2025-24813

  Versie 1.00 17-03-2025 NCSC-2025-0089  
 
medium
high
Signed-PGP →
CSAF →
PDF →
 
17-03-2025
medium
high
NCSC-2025-0089 [1.00] Signed-PGP →
Text, CSAF (sig), PDF

Vrijwaringsverklaring

Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend.
Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies.
Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding.