【漏洞预警】Apache Tomcat 条件竞争漏洞(CVE-2024-50379)
【漏洞预警】Apache Tomcat 条件竞争漏洞(CVE-2024-50379)
原创 聚焦网络安全情报 安全聚 2024-12-18 11:30
严
重
公
告
近日，安全聚实验室监测到 Apache Tomcat 存在条件竞争漏洞 ，编号为：CVE-2024-50379，CVSS:9.8 此漏洞允许未经身份验证的攻击者在启用默认 servlet 写入时对不区分大小写的文件系统进行远程命令执行。
01 漏洞描述
VULNERABILITY DESC.
Apache Tomcat是一个开源的、轻量级的、高性能的Java Servlet容器，由Apache软件基金会开发和维护。作为一个可靠的Web应用服务器，Tomcat提供了一个稳定的环境，用于运行Java Servlets和JavaServer Pages。Tomcat的灵活性和可扩展性使其成为开发人员和系统管理员首选的解决方案，无论是用于开发和测试阶段，还是在生产环境中部署和运行Java Web应用程序。Tomcat还具有简单的部署过程、强大的管理功能和广泛的社区支持，使其成为构建可靠、安全和高性能Web应用的理想选择。在Apache Tomcat中，当默认servlet写入启用时，存在一个时间检查争用条件漏洞，允许对不区分大小写的文件系统进行远程代码执行。
02 影响范围
IMPACT SCOPE
11.0.0-M1 <= Apache Tomcat <= 11.0.1
10.1.0-M1 <= Apache Tomcat <= 10.1.33
9.0.0.M1 <= Apache Tomcat <= 9.0.97
03 安全措施
SECURITY MEASURES
目前厂商已发布可更新版本，建议用户尽快更新至 Apache Tomcat 的修复版本或更高的版本：
Apache Tomcat >= 11.0.2
Apache Tomcat >= 10.1.34
Apache Tomcat >= 9.0.98
下载链接：
https://tomcat.apache.org/
04 参考链接
REFERENCE LINK
1.https://lists.apache.org/thread/y6lj6q1xnp822g6ro70tn19sgtjmr80r
05 技术支持
TECHNICAL SUPPORT
长按识别二维码，关注 “安全聚”
公众号！如有任何问题或需要帮助，随时联系我们的技术支持团队。
联系我们
微信号：SecGat
关注安全聚，获取更多精彩文章。
END
HISTORY
/
往期推荐
【已复现】Windows TCP/IP 远程执行代码漏洞（CVE-2024-38063）
【漏洞预警 | 已复现】Apache OFBiz远程代码执行漏洞（CVE-2024-38856）