Aktywnie wykorzystywana w atakach
Apache Tomcat Path Equivalence Vulnerability
Apache - Tomcat · Figuruje w katalogu CISA KEV od 2025-04-01. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-24813
KrytyczneCVSS 9.8KEVStreszczenie
Podatność w Apache Tomcat związana z równoważnością ścieżek (wewnętrzna kropka w nazwie pliku) może prowadzić do zdalnego wykonania kodu, ujawnienia informacji lub dodania złośliwej treści do przesyłanych plików. Występuje, gdy włączony jest zapis dla domyślnego serwletu, obsługa częściowego PUT oraz inne warunki konfiguracyjne.
Ocena ryzyka
Organizacje korzystające z podatnych wersji Apache Tomcat mogą być narażone na zdalne wykonanie kodu przez atakującego, co może prowadzić do pełnego przejęcia serwera. Może również dojść do wycieku poufnych plików lub modyfikacji przesyłanych danych.
Rekomendacja
Należy zaktualizować Apache Tomcat do wersji 11.0.3, 10.1.35 lub 9.0.99, które naprawiają tę podatność. Dodatkowo zaleca się wyłączenie zapisu dla domyślnego serwletu, jeśli nie jest wymagany.
Inne podatności w Apache Tomcat
Zobacz wszystkie- CVE-2026-43513Wysokie
Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.
- CVE-2026-42498Wysokie
Podatność w Apache Tomcat związana z ujawnieniem nagłówka uwierzytelniania HTTP nieoczekiwanym hostom podczas uwierzytelniania WebSocket. Dotyczy wersji od 11.0.0-M1 do 11.0.21, 10.1.0-M1 do 10.1.54, 9.0.2 do 9.0.117, 8.5.24 do 8.5.100 oraz 7.0.83 do 7.0.109.
- CVE-2026-41284Wysokie
W Apache Tomcat występuje podatność związana z alokacją zasobów bez ograniczeń lub throttlingu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54 oraz od 9.0.0.M1 do 9.0.117.
- CVE-2025-48989Wysokie
Podatność w Apache Tomcat związana z niewłaściwym zamykaniem lub zwalnianiem zasobów umożliwia atak typu 'made you reset'. Dotyczy to wersji od 11.0.0-M1 do 11.0.9, od 10.1.0-M1 do 10.1.43 oraz od 9.0.0.M1 do 9.0.107.
- CVE-2017-7675Wysokie
Implementacja HTTP/2 w Apache Tomcat od wersji 9.0.0.M1 do 9.0.0.M21 oraz od 8.5.0 do 8.5.15 omijała szereg zabezpieczeń, które zapobiegały atakom typu directory traversal. Możliwe było obejście ograniczeń bezpieczeństwa przy użyciu specjalnie skonstruowanego URL.
- CVE-2016-6796Wysokie
Złośliwa aplikacja webowa działająca na Apache Tomcat w wersjach od 6.0.0 do 9.0.0.M9 mogła obejść skonfigurowany SecurityManager poprzez manipulację parametrami konfiguracyjnymi dla serwletu JSP.
- CVE-2016-6817Wysokie
Parser nagłówków HTTP/2 w Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M11 oraz od 8.5.0 do 8.5.6 wchodził w nieskończoną pętlę, gdy otrzymał nagłówek większy niż dostępny bufor. To umożliwiało przeprowadzenie ataku typu denial of service.
- CVE-2016-6797Wysokie
Implementacja ResourceLinkFactory w Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M9, 8.5.0 do 8.5.4, 8.0.0.RC1 do 8.0.36, 7.0.0 do 7.0.70 oraz 6.0.0 do 6.0.45 nie ograniczała dostępu aplikacji webowych do globalnych zasobów JNDI tylko do tych zasobów, które były wyraźnie powiązane z aplikacją. W związku z tym aplikacja webowa mogła uzyskać dostęp do dowolnego globalnego zasobu JNDI, niezależnie od tego, czy skonfigurowano wyraźny ResourceLink.
- CVE-2017-5664Wysokie
Mechanizm stron błędów w specyfikacji Java Servlet wymaga, aby oryginalne żądanie i odpowiedź były przekazywane do strony błędu. W przypadku statycznych plików, oczekiwane zachowanie to obsługa treści pliku jak w przypadku żądania GET, co nie było realizowane w Apache Tomcat w wersjach 9.0.0.M1 do 9.0.0.M20, 8.5.0 do 8.5.14, 8.0.0.RC1 do 8.0.43 oraz 7.0.0 do 7.0.77.
- CVE-2017-5650Wysokie
W Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M18 oraz od 8.5.0 do 8.5.12, obsługa ramki GOAWAY w protokole HTTP/2 nie zamykała strumieni związanych z połączeniem, które czekały na WINDOW_UPDATE, co mogło prowadzić do wyczerpania dostępnych wątków przetwarzania.
Oryginalny opis (angielski, źródło NVD)
Path Equivalence: 'file.Name' (Internal Dot) leading to Remote Code Execution and/or Information disclosure and/or malicious content added to uploaded files via write enabled Default Servlet in Apache Tomcat. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.2, from 10.1.0-M1 through 10.1.34, from 9.0.0.M1 through 9.0.98. The following versions were EOL at the time the CVE was created but are known to be affected: 8.5.0 though 8.5.100. Other, older, EOL versions may also be affected. If all of the following were true, a malicious user was able to view security sensitive files and/or inject content into those files: - writes enabled for the default servlet (disabled by default) - support for partial PUT (enabled by default) - a target URL for security sensitive uploads that was a sub-directory of a target URL for public uploads - attacker knowledge of the names of security sensitive files being uploaded - the security sensitive files also being uploaded via partial PUT If all of the following were true, a malicious user was able to perform remote code execution: - writes enabled for the default servlet (disabled by default) - support for partial PUT (enabled by default) - application was using Tomcat's file based session persistence with the default storage location - application included a library that may be leveraged in a deserialization attack Users are recommended to upgrade to version 11.0.3, 10.1.35 or 9.0.99, which fixes the issue.