Apache Tomcat, nelle versioni da 9.0.0.M1 a 9.0.98, da 10.1.0-M1 a 10.1.34 e da 11.0.0-M1 a 11.0.2, presenta una vulnerabilità critica che consente l’esecuzione di codice remoto a causa di una condizione di race. Con oltre 130.000 istanze esposte online, questa vulnerabilità rappresenta un rischio rilevante per le organizzazioni a livello globale.

Riassunto tecnico

La vulnerabilità deriva da una condizione di race nella gestione dei caricamenti di file e nel trattamento dei percorsi con sensibilità al maiuscolo/minuscolo in Apache Tomcat. Un attaccante può sfruttarla:

1. Inviando richieste PUT simultanee con estensioni di file non standard (ad esempio, .Jsp invece di .jsp)
2. Effettuando contemporaneamente richieste GET allo stesso percorso con estensioni standard
3. Sfruttando la non sensibilità al maiuscolo/minuscolo del file system del server per eseguire codice dannoso

Questa vulnerabilità è particolarmente pericolosa perché:

• Colpisce più versioni principali di Tomcat
• Può portare all’esecuzione di codice da remoto
• È presente nelle configurazioni predefinite
• Un numero rilevante di istanze vulnerabili è ancora esposto

Impatto

Lo sfruttamento riuscito potrebbe permettere agli attaccanti di:

• Eseguire codice arbitrario sul sistema target
• Ottenere accesso non autorizzato a dati sensibili
• Stabilire un accesso persistente al sistema
• Spostarsi lateralmente verso altri sistemi nella rete
• Compromettere l’integrità delle applicazioni web

Raccomandazioni

1. Azioni immediate:

   • Aggiornare Apache Tomcat alle seguenti versioni o successive:
     • 9.0.98 per Tomcat 9.x
     • 10.1.34 per Tomcat 10.x
     • 11.0.2 per Tomcat 11.x

2. Rafforzamento della configurazione:

   • Implementare restrizioni rigorose per il caricamento dei file
   • Configurare la gestione corretta delle estensioni di file
   • Abilitare la modalità readonly per il servlet predefinito ove possibile
   • Esaminare e limitare i metodi HTTP PUT/DELETE se non necessari

3. Misure di sicurezza aggiuntive:

   • Applicare regole WAF (Web Application Firewall) per rilevare e bloccare tentativi di exploit
   • Monitorare pattern sospetti nei caricamenti di file e nelle richieste concorrenti
   • Considerare l’implementazione della segmentazione di rete per limitare l’esposizione