Хакер #305. Многошаговые SQL-инъекции
Разработчики Apache Software Foundation выпустили патчи для уязвимости в серверном ПО Tomcat. При определенных условиях эта проблема могла привести к удаленному выполнению кода (RCE).
Уязвимость получила идентификатор CVE-2024-56337 и является следствием неполного исправления другого критического бага — CVE-2024-50379 (9,8 балла по шкале CVSS), который был не до конца устранен ранее в этом месяце (17 декабря 2024 года).
Проблема относится к типу TOCTOU (time-of-check time-of-use) и связана с состоянием гонки, которое затрагивает системы с разрешенной записью для сервлетов по умолчанию (параметр readonly установлен в false), работающие с файловыми системами, не чувствительными к регистру.
Проблема затрагивает Apache Tomcat с 11.0.0-M1 по 11.0.1, с 10.1.0-M1 по 10.1.33 и с 9.0.0.M1 по 9.0.97.
После выпуска патча для CVE-2024-50379, специалисты Apache обнаружили, что он не полностью исправляет ситуацию для клиентов, работающих на виртуальных машинах со старыми версиями Java.
По сути обе CVE связаны с одной и той же проблемой, но в случае с CVE-2024-56337 Apache предоставляет дополнительные подробности по устранению проблемы, и предупреждает, что администраторам придется вносить некоторые изменения вручную.
То есть недостаточно просто обновить Tomcat до последней версии (в настоящее время это 11.0.2, 10.1.34 и 9.0.98), также нужно будет внести следующие изменения:
- при работе на Java 8 или 11 рекомендуется установить sun.io.useCanonCaches в значение false (по умолчанию true);
- если используется Java 17 и sun.io.useCanonCaches необходимо установить значение false (по умолчанию false);
- для Java 21 и более поздних версий дополнительные действия не требуются.
В будущем команда Apache планирует усовершенствовать систему безопасности в Tomcat 11.0.3, 10.1.35 и 9.0.99. В частности, Tomcat будет проверять корректность установки параметра sun.io.useCanonCaches перед разрешением доступа на запись для сервлета по умолчанию на файловых системах, не чувствительных к регистру, и по умолчанию будет устанавливать значение на false, когда это возможно.
