CVE-2025-55752

Nome do Software Vulnerável e Versões Afetadas Apache Tomcat versões 11.0.0-M1 até 11.0.10 Apache Tomcat versões 10.1.0-M1 até 10.1.44 Apache Tomcat versões 9.0.0.M11 até 9.0.108 Apache Tomcat versões 8.5.6 até 8.5.100

Description Um problema de travessia de caminho relativo existe devido a uma regressão onde as URLs reescritas são normalizadas antes de serem decodificadas. Isso permite que um invasor manipule a URI da requisição para ignorar restrições de segurança, concedendo acesso não autorizado a diretórios protegidos, como '/WEB-INF/' e '/META-INF/'. Se o método PUT estiver habilitado, isso pode permitir o upload de arquivos maliciosos, levando potencialmente à execução remota de código. Este problema ocorre especificamente quando regras de reescrita são usadas para reescrever parâmetros de consulta para a URL, frequentemente envolvendo o componente RewriteValve.

Recommendations Atualizar para a versão 11.0.11 ou posterior. Atualizar para a versão 10.1.45 ou posterior. Atualizar para a versão 9.0.109 ou posterior. Desativar entradas do RewriteValve no server.xml ou context.xml onde não forem estritamente necessárias. Desativar o método PUT para prevenir a possível execução remota de código.