- شناسه CVE-2024-56337 :CVE
- CWE-367 :CWE
- yes :Advisory
- منتشر شده: دسامبر 20, 2024
- به روز شده: دسامبر 20, 2024
- امتیاز: 9.8
- نوع حمله: Unknown
- اثر گذاری: Remote Code Execution
- محصول: Apache Tomcat
- وضعیتPublished :CVE
- Yes :POC
- وضعیت آسیب پذیری: patch شده
چکیده
یک آسیب پذیری در آپاچی تامکت پیدا شده است و به عنوان دسته آسیب پذیری های بحرانی طبقه بندی شده است. این آسیب پذیری کد ناشناخته مؤلفه CVE-2024-50379 را تحت تأثیر قرار می دهد. ایجاد تغییرات منجر به TOCTOU(Time-of-check Time-of-use) می شود. این آسیب پذیری با شناسه CVE-2024-56337 شناخته می شود. اکسپلویت کردن این آسیب پذیری دشوار است.
توضیحات
کاربرانی که Tomcat را روی یک سیستم فایل بدون حساسیت به حروف بزرگ و کوچک با نوشتن پیش‌فرض servlet فعال می‌کنند (پارامتر تنظیم اولیه فقط خواندن روی مقدار غیر پیش‌فرض false تنظیم شده است) ممکن است به پیکربندی اضافی برای کامل کردن CVE-2024-50379 بسته به اینکه از کدام نسخه جاوا استفاده می‌کنند نیاز داشته باشند.
با استفاده از Tomcat باید تنظیمات زیر صورت گیرد:
– در جاوا 8 یا جاوا 11 : ویژگی سیستمsun.io.useCanonCaches باید باشد روی false تنظیم شده است (به طور پیش‌فرض روی true است)
– در جاوا 17: ویژگی سیستم sun.io.useCanonCaches، در صورت تنظیم، باید روی false تنظیم شود (به طور پیش‌فرض روی false تنظیم می‌شود)
– در جاوا 21 به بعد : هیچ پیکربندی دیگری وجود ندارد مورد نیاز (ویژگی سیستم و حافظه پنهان مشکل ساز حذف شده است) Tomcat 11.0.3، 10.1.35 و 9.0.99 به بعد شامل بررسی هایی می شود که sun.io.useCanonCaches به درستی تنظیم شده باشد، قبل از اینکه سرورلت پیش فرض در یک سیستم فایل غیر حساس به حروف بزرگ و کوچک فعال شود. Tomcat همچنین در جایی که بتواند sun.io.useCanonCaches را به صورت پیش‌فرض روی false تنظیم می‌کند.
نکته: یک PoC بسیار مفید توسط تیم dawu@knownsec 404 و تیم Sunflower@knownsec 404 گزارش شده است.
CVSS
| Score | Severity | Version | Vector String | ||
| 9.8 | CRITICAL | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | ||
لیست محصولات آسیب پذیر
- Apache Tomcat 9.0.0.M1 تا 9.0.97
- Apache Tomcat 10.1.0-M1 تا 10.1.33
- Apache Tomcat 11.0.0-M1 تا 11.0.1
لیست محصولات بروز شده
به‌روزرسانی به نسخه‌های اصلاح‌شده:
- Apache Tomcat 9.0.98 یا بالاتر
- Apache Tomcat 10.1.34 یا بالاتر
- Apache Tomcat 11.0.2 یا بالاتر
نتیجه گیری
این آسیب پذیری در دسته CWE-367 طبقه بندی می شود. محصول قبل از استفاده از منبع مورد نظر، وضعیت یک منبع را بررسی می کند، اما وضعیت منبع می تواند بین حالات بررسی و استفاده به گونه ای تغییر کند که نتایج بررسی را باطل کند. وقتی منبع در حالت غیرمنتظره ای قرار دارد، این می تواند باعث شود محصول اقداماتی نامعتبر انجام دهد. تاثیر حاصل از این رفتار ناشناخته باقی مانده است.
