Баг в Apache Tomcat позволяет добиться удаленного выполнения кода - «Новости» » Интернет технологии
sitename
Япония запретила продажу смартфонов Google Pixel 7 — Pixel 8 и Pixel 9 тоже под угрозой - «Новости сети»
Япония запретила продажу смартфонов Google Pixel 7 — Pixel 8 и Pixel 9 тоже под угрозой - «Новости сети»
В Пекине прошёл первый в мире футбольный турнир между гуманоидными роботами - «Новости сети»
В Пекине прошёл первый в мире футбольный турнир между гуманоидными роботами - «Новости сети»
Toyota RAV4 по итогам прошлого года обогнала Tesla Model Y в статусе самого популярного в мире автомобиля - «Новости сети»
Toyota RAV4 по итогам прошлого года обогнала Tesla Model Y в статусе самого популярного в мире автомобиля - «Новости сети»
Злоумышленники могут обойти аутентификацию почти 700 моделей принтеров Brother - «Новости»
Злоумышленники могут обойти аутентификацию почти 700 моделей принтеров Brother - «Новости»
Специалисты Cloudflare объяснили, что происходит с российским трафиком - «Новости»
Специалисты Cloudflare объяснили, что происходит с российским трафиком - «Новости»
Nvidia обновила DLSS, уменьшив в играх потребление VRAM на 20 % - «Новости сети»
Nvidia обновила DLSS, уменьшив в играх потребление VRAM на 20 % - «Новости сети»
Microsoft заявила, что ПК с Windows 11 в 2,3 раза быстрее ПК с Windows 10 и привела сомнительные аргументы - «Новости сети»
Microsoft заявила, что ПК с Windows 11 в 2,3 раза быстрее ПК с Windows 10 и привела сомнительные аргументы - «Новости сети»
MEGANews. Cамые важные события в мире инфосека за июнь - «Новости»
MEGANews. Cамые важные события в мире инфосека за июнь - «Новости»
Австралийку арестовали из-за неоднократных взломов университетских систем - «Новости»
Австралийку арестовали из-за неоднократных взломов университетских систем - «Новости»
Теперь дешевле. Подписка на «Хакер» — 450₽ в месяц - «Новости»
Теперь дешевле. Подписка на «Хакер» — 450₽ в месяц - «Новости»
Как заработать денег, не выходя из дома, мы вам поможем с этим разобраться » Учебник CSS » Преимущества стилей » Баг в Apache Tomcat позволяет добиться удаленного выполнения кода - «Новости»

Разработчики Apache Software Foundation выпустили патчи для уязвимости в серверном ПО Tomcat. При определенных условиях эта проблема могла привести к удаленному выполнению кода (RCE).


Уязвимость получила идентификатор CVE-2024-56337 и является следствием неполного исправления другого критического бага — CVE-2024-50379 (9,8 балла по шкале CVSS), который был не до конца устранен ранее в этом месяце (17 декабря 2024 года).


Проблема относится к типу TOCTOU (time-of-check time-of-use) и связана с состоянием гонки, которое затрагивает системы с разрешенной записью для сервлетов по умолчанию (параметр readonly установлен в false), работающие с файловыми системами, не чувствительными к регистру.


Проблема затрагивает Apache Tomcat с 11.0.0-M1 по 11.0.1, с 10.1.0-M1 по 10.1.33 и с 9.0.0.M1 по 9.0.97.


После выпуска патча для CVE-2024-50379, специалисты Apache обнаружили, что он не полностью исправляет ситуацию для клиентов, работающих на виртуальных машинах со старыми версиями Java.


По сути обе CVE связаны с одной и той же проблемой, но в случае с CVE-2024-56337 Apache предоставляет дополнительные подробности по устранению проблемы, и предупреждает, что администраторам придется вносить некоторые изменения вручную.


То есть недостаточно просто обновить Tomcat до последней версии (в настоящее время это 11.0.2, 10.1.34 и 9.0.98), также нужно будет внести следующие изменения:



  • при работе на Java 8 или 11 рекомендуется установить sun.io.useCanonCaches в значение false (по умолчанию true);

  • если используется Java 17 и sun.io.useCanonCaches необходимо установить значение false (по умолчанию false);

  • для Java 21 и более поздних версий дополнительные действия не требуются.


В будущем команда Apache планирует усовершенствовать систему безопасности в Tomcat 11.0.3, 10.1.35 и 9.0.99. В частности, Tomcat будет проверять корректность установки параметра sun.io.useCanonCaches перед разрешением доступа на запись для сервлета по умолчанию на файловых системах, не чувствительных к регистру, и по умолчанию будет устанавливать значение на false, когда это возможно.

Цитирование статьи, картинки - фото скриншот - Rambler News Service.
Иллюстрация к статье - Яндекс. Картинки.
Есть вопросы. Напишите нам.
Общие правила  поведения на сайте.

Разработчики Apache Software Foundation выпустили патчи для уязвимости в серверном ПО Tomcat. При определенных условиях эта проблема могла привести к удаленному выполнению кода (RCE). Уязвимость получила идентификатор CVE-2024-56337 и является следствием неполного исправления другого критического бага — CVE-2024-50379 (9,8 балла по шкале CVSS), который был не до конца устранен ранее в этом месяце (17 декабря 2024 года). Проблема относится к типу TOCTOU (time-of-check time-of-use) и связана с состоянием гонки, которое затрагивает системы с разрешенной записью для сервлетов по умолчанию (параметр readonly установлен в false), работающие с файловыми системами, не чувствительными к регистру. Проблема затрагивает Apache Tomcat с 11.0.0-M1 по 11.0.1, с 10.1.0-M1 по 10.1.33 и с 9.0.0.M1 по 9.0.97. После выпуска патча для CVE-2024-50379, специалисты Apache обнаружили, что он не полностью исправляет ситуацию для клиентов, работающих на виртуальных машинах со старыми версиями Java. По сути обе CVE связаны с одной и той же проблемой, но в случае с CVE-2024-56337 Apache предоставляет дополнительные подробности по устранению проблемы, и предупреждает, что администраторам придется вносить некоторые изменения вручную. То есть недостаточно просто обновить Tomcat до последней версии (в настоящее время это 11.0.2, 10.1.34 и 9.0.98), также нужно будет внести следующие изменения: при работе на Java 8 или 11 рекомендуется установить sun.io.useCanonCaches в значение false (по умолчанию true); если используется Java 17 и sun.io.useCanonCaches необходимо установить значение false (по умолчанию false); для Java 21 и более поздних версий дополнительные действия не требуются. В будущем команда Apache планирует усовершенствовать систему безопасности в Tomcat 11.0.3, 10.1.35 и 9.0.99. В частности, Tomcat будет проверять корректность установки параметра sun.io.useCanonCaches перед разрешением доступа на запись для сервлета по умолчанию на файловых системах, не чувствительных к регистру, и по умолчанию будет устанавливать значение на false, когда это возможно.
CSS

Смотрите также


А что там на главной? )))



Комментарии )))



Войти через: