Một lỗ hổng bảo mật mới được tiết lộ ảnh hưởng đến Apache Tomcat đã bị khai thác tích cực sau khi một bằng chứng khai thác (PoC) công khai được phát hành chỉ 30 giờ sau khi công bố.

Các phiên bản bị ảnh hưởng và Điều kiện

Lỗ hổng này, được theo dõi là CVE-2025-24813, ảnh hưởng đến các phiên bản sau :

•

Apache Tomcat 11.0.0-M1 đến 11.0.2

•

Apache Tomcat 10.1.0-M1 đến 10.1.34

•

Apache Tomcat 9.0.0-M1 đến 9.0.98 Lỗ hổng này liên quan đến một trường hợp thực thi mã từ xa hoặc tiết lộ thông tin khi các điều kiện cụ thể được đáp ứng –

•

Tính năng ghi được bật cho servlet mặc định (tắt theo mặc định)

•

Hỗ trợ PUT một phần (bật theo mặc định)

•

URL mục tiêu cho các tải lên nhạy cảm về bảo mật là một thư mục con của URL mục tiêu cho các tải lên công khai

•

Kẻ tấn công biết tên của các tệp nhạy cảm về bảo mật đang được tải lên

•

Các tệp nhạy cảm về bảo mật cũng đang được tải lên thông qua PUT một phần

Hậu quả của việc khai thác

Khai thác thành công có thể cho phép người dùng độc hại xem các tệp nhạy cảm về bảo mật hoặc chèn nội dung tùy ý vào các tệp đó bằng yêu cầu PUT. Ngoài ra, kẻ tấn công có thể đạt được khả năng thực thi mã từ xa nếu tất cả các điều kiện sau đây đều đúng –

•

Tính năng ghi được bật cho servlet mặc định (tắt theo mặc định)

•

Hỗ trợ PUT một phần (bật theo mặc định)

•

Ứng dụng đang sử dụng tính năng lưu trữ phiên dựa trên tệp của Tomcat với vị trí lưu trữ mặc định

•

Ứng dụng bao gồm một thư viện có thể được tận dụng trong một cuộc tấn công deserialization

Bản vá và Khai thác tích cực

Trong một khuyến cáo được phát hành vào tuần trước, các nhà duy trì dự án cho biết lỗ hổng đã được giải quyết trong các phiên bản Tomcat 9.0.99, 10.1.35 và 11.0.3. Nhưng trong một diễn biến đáng lo ngại, lỗ hổng này đã bị phát hiện các nỗ lực khai thác trong thực tế, theo Wallarm. “Cuộc tấn công này khai thác cơ chế lưu trữ phiên mặc định của Tomcat cùng với hỗ trợ cho các yêu cầu PUT một phần,” công ty cho biết. “Việc khai thác hoạt động theo hai bước: Kẻ tấn công tải lên một tệp phiên Java được tuần tự hóa thông qua yêu cầu PUT. Kẻ tấn công kích hoạt quá trình deserialization bằng cách tham chiếu ID phiên độc hại trong một yêu cầu GET.”

Cơ chế khai thác và Hậu quả

Nói cách khác, các cuộc tấn công bao gồm việc gửi yêu cầu PUT chứa payload Java được tuần tự hóa và mã hóa Base64, được ghi vào thư mục lưu trữ phiên của Tomcat, sau đó được thực thi trong quá trình deserialization bằng cách gửi yêu cầu GET với JSESSIONID trỏ đến phiên độc hại. Wallarm cũng lưu ý rằng lỗ hổng này rất dễ khai thác và không yêu cầu xác thực. Điều kiện tiên quyết duy nhất là Tomcat sử dụng bộ nhớ phiên dựa trên tệp. “Mặc dù việc khai thác này lạm dụng bộ nhớ phiên, vấn đề lớn hơn là việc xử lý PUT một phần trong Tomcat, cho phép tải lên thực tế mọi tệp ở bất kỳ đâu,” họ nói thêm. “Những kẻ tấn công sẽ sớm bắt đầu thay đổi chiến thuật của chúng, tải lên các tệp JSP độc hại, sửa đổi cấu hình và cài đặt backdoor bên ngoài bộ nhớ phiên.”

Security365 : Lời khuyên về giảm thiểu

Người dùng đang chạy các phiên bản Tomcat bị ảnh hưởng nên cập nhật các phiên bản của họ càng sớm càng tốt để giảm thiểu các mối đe dọa tiềm ẩn

Security365