Apache Tomcat, un serveur web open-source et conteneur de servlets largement utilisé, est essentiel pour l’hébergement d’applications Java. Il présente une vulnérabilité critique de contournement d’authentification (CVE-2024-52316) qui peut permettre un accès non autorisé dans certaines configurations spécifiques.

Produit	Apache Tomcat
Date	25/11/2024 15:21:18
Informations	Tendance Correctif disponible

Résumé technique

La CVE-2024-52316 est une vulnérabilité liée à la gestion d’erreurs non contrôlées qui affecte les versions de Tomcat suivantes :

• 11.0.0-M1 à 11.0.0-M26
• 10.1.0-M1 à 10.1.30
• 9.0.0-M1 à 9.0.95

Si un composant personnalisé Jakarta Authentication ServerAuthContext rencontre une exception lors de l’authentification mais ne définit pas explicitement un code d’état HTTP pour l’échec, l’authentification pourrait réussir par inadvertance, permettant ainsi un accès non autorisé.

Bien qu’aucun composant Jakarta Authentication présentant ce comportement ne soit actuellement connu, les systèmes utilisant des implémentations personnalisées sont exposés. La vulnérabilité a été corrigée dans les versions de Tomcat 11.0.0, 10.1.31 et 9.0.96.

Recommandations

• Mettre à jour Apache Tomcat vers les dernières versions correctives :
• 11.0.0 pour les utilisateurs de la série 11.x.
• 10.1.31 pour les utilisateurs de la série 10.x.
• 9.0.96 pour les utilisateurs de la série 9.x.

[Callforaction-THREAT-Footer]