PT-2024-9579
CVE-2024-50379
·
Publicado
2024-03-05
·
Atualizado
2026-10-29
Descrição por
CVSS 2.0
10
CríticaMétricasAV:N/AC:L/Au:N/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Versões do Apache Tomcat anteriores à 11.0.2, 10.1.34 ou 9.0.98.
Descrição
A vulnerabilidade de condição de corrida Time-of-check Time-of-use (TOCTOU) durante a compilação de JSP no Apache Tomcat permite um RCE em sistemas de arquivos que não diferenciam maiúsculas de minúsculas quando o servlet padrão está habilitado para gravação (configuração não padrão). Este problema afeta o Apache Tomcat: das versões 11.0.0-M1 a 11.0.1, das versões 10.1.0-M1 a 10.1.33 e das versões 9.0.0.M1 a 9.0.97. Recomenda-se que os usuários atualizem para a versão 11.0.2, 10.1.34 ou 9.0.98, que corrige o problema.
Recomendações
-
Atualize o Apache Tomcat para as versões 11.0.2+, 10.1.34+ ou 9.0.98+ para corrigir as vulnerabilidades CVE-2024-50379 e CVE-2024.
-
Restrinja temporariamente o acesso de gravação ao servlet padrão se não for possível realizar a atualização imediatamente.
-
Desative o aplicativo web “examples” no Apache Tomcat para se proteger contra a vulnerabilidade.
-
Defina a propriedade do sistema sun.io.useCanonCaches como false se estiver usando Java 8 ou Java 11.
-
Defina a propriedade do sistema sun.io.useCanonCaches como false se estiver usando Java 17.
-
Não é necessária nenhuma configuração adicional para o Java 21 em diante.
-
O Tomcat 11.0.3, 10.1.35 e 9.0.99 em diante incluirá verificações para garantir que sun.io.useCanonCaches esteja definido corretamente antes de permitir que o servlet padrão tenha permissão de gravação em um sistema de arquivos que não distingue maiúsculas de minúsculas. O Tomcat também definirá sun.io.useCanonCaches como false por padrão, sempre que possível.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾