-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### Titel : Kwetsbaarheid verholpen in Apache Tomcat Advisory ID : NCSC-2025-0089 Versie : 1.00 Kans : medium CVE ID : CVE-2025-24813 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high Deserialization of Untrusted Data Path Equivalence: 'file.name' (Internal Dot) Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') Uitgiftedatum : 20250317 Toepassing : Apache Software Foundation Apache Tomcat Apache Tomcat Debian tomcat10 Debian tomcat9 Red Hat Red Hat Enterprise Linux 8 Red Hat pki-servlet-engine Red Hat tomcat Red Hat tomcat6 SUSE SUSE openSUSE Versie(s) : Platform(s) : Beschrijving Apache heeft een kwetsbaarheid verholpen in Apache Tomcat (Specifiek voor versies 11.0.0-M1 tot 11.0.2, 10.1.0-M1 tot 10.1.34, en 9.0.0.M1 tot 9.0.98). De kwetsbaarheid bevindt zich in de manier waarop de server omgaat met HTTP PUT-verzoeken. Door een kwaadaardig PUT-verzoek te sturen, kan een aanvaller willekeurige bestanden uploaden en uiteindelijk remote code execution (RCE) verkrijgen. Dit stelt hen in staat om volledige controle over de server te krijgen Deze kwetsbaarheid wordt momenteel actief misbruikt in aanvallen, wat de urgentie van het aanpakken van dit beveiligingsprobleem in getroffen implementaties onderstreept. Mogelijke oplossingen Apache heeft updates uitgebracht om de kwetsbaarheid te verhelpen. Zie bijgevoegde referenties voor meer informatie. Referenties: Reference - redhat https://www.cve.org/CVERecord?id=CVE-2025-24813 Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEj9lz1UkzuNhtLOX5ytTOqyR+cF8FAmfYa54ACgkQytTOqyR+ cF/XBAv/SYNgdUSicQXYsJlvLIBVhRAPrKW4b3nVICErHged+Pv29bS0eeUT3IT4 BenI2NN0cE9SHaFefF7+JJyJZLndtHFaP75BLwAhcVwiAE+l8uXsaqv2ucZB/ljF hWMA+2MxBc70w2Fx9J8f0kC9f4ODogGUJEcAwKYdTygiWC0ZkXGmeeWjZj9raKmS IuLdtZLUHGrw0t5eWNG1ZRj4tRpr8Var1IinQQivo2cfS60SqbQhzgfTe9qzaVu7 iGFWuMb6AOHnDAYQlZmzmQ4KmO6ersFTmtFMhQOtwOcGUGWDqnjODI9m1MFGJNXF U06nOzY4SPzkPzjUrgY+1RpGlhkKA162Ko/t89WvfJGwXqpOUlb0pFc6XA6T7knx GT0HHV3i2roEDVnKOgEpwMBAbfDBXuUHv9D9JZtyHKSMymdAgVprZhrTZesbwaOM m6QNVDRrrABlIsOoTKeQGjGF3bnKnxOgzrXvtGZFniBVsm3v9k+Drrzhwdgo7v/f Nz+GreCM =5eLG -----END PGP SIGNATURE-----