Apache Tomcat被发现存在严重漏洞CVE-2025-24813，允许攻击者访问敏感文件并远程执行代码。该漏洞已被黑客利用，通过GitHub上的PoC发起攻击。攻击利用Tomcat的默认会话存储机制，在上传恶意会话文件后触发反序列化执行恶意代码。此漏洞影响多个版本的Tomcat，已发布修复版本。 2025-3-18 15:15:51 Author: www.securityinfo.it(查看原文) 阅读量:3 收藏
Mar 18, 2025 Attacchi, Hacking, In evidenza, Minacce, News, RSS, Vulnerabilità
Un grave bug che colpisce Apache Tomcat è sfruttato attivamente dai cybercriminali per sferrare attacchi. Ci sono volute appena 30 ore dalla diffusione della notizia prima che gli attaccanti cominciassero a colpire.
La vulnerabilità, tracciata come CVE-2025-24813, consente a un utente malintenzionato di accedere a file di sicurezza e modificarli, oltre che eseguire codice da remoto.
A lanciare l’allarme è stata Wallarm, una compagnia di sicurezza statunitense che ha individuato subito gli attacchi, cominciati dopo la pubblicazione di una PoC su GitHub da parte dell’utente iSee857.
Stando a quando spiegato dall’azienda, l’attacco sfrutta il meccanismo di default per la persistenza della sessione del server per accedere a file sensibili e iniettare contenuto aggiuntivo. Nella prima fase, l’attaccante invia una richiesta PUT per caricare un file di sessione malevolo sul server. Il payload, una volta inviata la richiesta, si occupa di creare un file nella cartella del session storage di Tomcat. “Poiché Tomcat salva automaticamente i dati di sessione nei file, il payload malevolo viene salvato sul disco, in attesa di essere deserializzato“.
La deserializzazione viene eseguita tramite una richiesta GET dell’attaccante contenente il JSESSIONID della sessione malevola. Il server, riconoscendo l’ID di sessione, recupera il file, lo deserializza e provoca l’esecuzione del codice malevolo, concedendo completo accesso alla macchina all’attaccante.
“Questo attacco è semplicissimo da eseguire e non richiede alcuna autenticazione” spiegano i ricercatori di Wallarm. “L’unico requisito è che Tomcat utilizzi un session storage basato su file, cosa comune in molte implementazioni. Peggio ancora, la codifica base64 permette all’exploit di aggirare la maggior parte dei filtri di sicurezza tradizionali, rendendo difficile il rilevamento“.
L’attacco è particolarmente efficace anche perché le richieste inviate non contengono di per sé codice malevolo; inoltre, lo step effettivamente dannoso viene eseguito in un secondo momento, durante la deserializzazione.
Wallarm sottolinea però che il problema maggiore sta nel fatto che Tomcat non gestisce correttamente le richieste PUT, permettendo sostanzialmente di creare file ovunque. “Gli attaccanti cominceranno presto a modificare le loro tattiche, caricando file JSP malevoli, modificando le configurazioni e impiantando backdoor fuori dal session storage. Questa è solo la prima ondata“.
Il bug colpisce le versioni di Apache Tomcat dalla 11.0.0-M1 alla 11.0.2, dalla 10.1.0-M1 alla 10.1.34 e dalla 9.0.0-M1 alla 9.0.98. Il fix è stato pubblicato nella versione 11.0.3 del server. È fondamentale aggiornare il prima possibile la propria versione di Tomcat per proteggersi da questo attacco.
Altro in questa categoria
如有侵权请联系:admin#unsafe.sh