Aktywnie wykorzystywana w atakach
Apache Tomcat Remote Code Execution Vulnerability
Apache - Tomcat · Figuruje w katalogu CISA KEV od 2022-03-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2017-12617
WysokieCVSS 8.1KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
W wersjach Apache Tomcat od 9.0.0.M1 do 9.0.0, 8.5.0 do 8.5.22, 8.0.0.RC1 do 8.0.46 oraz 7.0.0 do 7.0.81, włączając HTTP PUT, istniała możliwość przesłania pliku JSP na serwer za pomocą specjalnie przygotowanego żądania. Taki plik JSP mógł być następnie wywołany, a zawarty w nim kod był wykonywany przez serwer.
Ocena ryzyka
Organizacja narażona jest na wykonanie nieautoryzowanego kodu na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację Apache Tomcat do najnowszej wersji oraz wyłączenie obsługi HTTP PUT, jeśli nie jest to konieczne.
Oryginalny opis (angielski, źródło NVD)
When running Apache Tomcat versions 9.0.0.M1 to 9.0.0, 8.5.0 to 8.5.22, 8.0.0.RC1 to 8.0.46 and 7.0.0 to 7.0.81 with HTTP PUTs enabled (e.g. via setting the readonly initialisation parameter of the Default servlet to false) it was possible to upload a JSP file to the server via a specially crafted request. This JSP could then be requested and any code it contained would be executed by the server.