Actively exploited in the wild
Apache Tomcat Remote Code Execution Vulnerability
Apache - Tomcat · Listed in the CISA KEV since 2022-03-25. This indicates confirmed attacks in production environments.
Required action: Apply updates per vendor instructions.
CVE-2017-12617
HighCVSS 8.1KEVExploitation Probability (EPSS)
Very high risk100th percentile - higher than 100% of all known CVEs
Summary
W wersjach Apache Tomcat od 9.0.0.M1 do 9.0.0, 8.5.0 do 8.5.22, 8.0.0.RC1 do 8.0.46 oraz 7.0.0 do 7.0.81, włączając HTTP PUT, istniała możliwość przesłania pliku JSP na serwer za pomocą specjalnie przygotowanego żądania. Taki plik JSP mógł być następnie wywołany, a zawarty w nim kod był wykonywany przez serwer.
Risk Assessment
Organizacja narażona jest na wykonanie nieautoryzowanego kodu na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Recommendation
Zaleca się aktualizację Apache Tomcat do najnowszej wersji oraz wyłączenie obsługi HTTP PUT, jeśli nie jest to konieczne.
Original NVD description (English source)
When running Apache Tomcat versions 9.0.0.M1 to 9.0.0, 8.5.0 to 8.5.22, 8.0.0.RC1 to 8.0.46 and 7.0.0 to 7.0.81 with HTTP PUTs enabled (e.g. via setting the readonly initialisation parameter of the Default servlet to false) it was possible to upload a JSP file to the server via a specially crafted request. This JSP could then be requested and any code it contained would be executed by the server.