Apache Tomcat, dans ses versions de 9.0.0.M1 à 9.0.98, de 10.1.0-M1 à 10.1.34 et de 11.0.0-M1 à 11.0.2, présente une vulnérabilité critique permettant l’exécution de code à distance en raison d’une condition de concurrence (race condition). Avec plus de 130 000 instances exposées en ligne, cette vulnérabilité représente un risque majeur pour les organisations à l’échelle mondiale.

Produit	Apache Tomcat
Date	24-12-2024 13:35:38
Informations	Tendance Correctif disponible

Résumé technique

La vulnérabilité provient d’une condition de concurrence dans la gestion des téléchargements de fichiers et le traitement des chemins sensibles à la casse dans Apache Tomcat. Un attaquant peut l’exploiter en :

1. Envoyant des requêtes PUT simultanées avec des extensions de fichiers non standard (par exemple, .Jsp au lieu de .jsp)
2. Effectuant simultanément des requêtes GET vers le même chemin avec des extensions standard
3. Exploitant la non-sensibilité à la casse du système de fichiers du serveur pour exécuter du code malveillant

Cette vulnérabilité est particulièrement dangereuse car :

• Elle affecte plusieurs versions majeures de Tomcat
• Elle peut mener à l’exécution de code à distance
• Elle est présente dans les configurations par défaut
• Un nombre important d’instances vulnérables est toujours exposé

Impact

Une exploitation réussie pourrait permettre aux attaquants de :

• Exécuter du code arbitraire sur le système cible
• Obtenir un accès non autorisé à des données sensibles
• Établir un accès persistant au système
• Se déplacer latéralement vers d’autres systèmes du réseau
• Compromettre l’intégrité des applications web

Recommandations

1. Actions immédiates :

   • Mettre à jour Apache Tomcat vers les versions suivantes ou ultérieures :
     • 9.0.98 pour Tomcat 9.x
     • 10.1.34 pour Tomcat 10.x
     • 11.0.2 pour Tomcat 11.x

2. Renforcement de la configuration :

   • Implémenter des restrictions strictes pour le téléchargement de fichiers
   • Configurer la gestion correcte des extensions de fichiers
   • Activer le mode lecture seule (readonly) pour la servlet par défaut si possible
   • Examiner et limiter les méthodes HTTP PUT/DELETE si elles ne sont pas nécessaires

3. Mesures de sécurité supplémentaires :

   • Appliquer des règles WAF (Web Application Firewall) pour détecter et bloquer les tentatives d’exploitation
   • Surveiller les modèles suspects dans les téléchargements de fichiers et les requêtes concurrentes
   • Envisager la mise en œuvre d’une segmentation réseau pour limiter l’exposition

[Callforaction-THREAT-Footer]