La falla CVE-2025-24813 en Apache Tomcat permite RCE unautenticado. Esta vulnerabilidad crítica en Apache Tomcat surge por el manejo de PUT parcial. Actualice su Apache Tomcat a versiones seguras para mitigar riesgos graves de seguridad.
Esto es lo que descubrirás
Aprenderá sobre la vulnerabilidad crítica CVE-2025-24813 en Apache Tomcat, que permite ejecución remota de código (RCE). El blog detalla cómo el PUT parcial puede ser explotado y qué versiones de Apache Tomcat requieren parches inmediatos para evitar el compromiso total del servidor.
Se ha descubierto una vulnerabilidad de severidad crítica en Apache Tomcat, el popular servidor web de código abierto. Identificada como CVE-2025-24813, esta falla en Apache Tomcat podría permitir a actores maliciosos ejecutar código arbitrario, divulgar información confidencial o corromper datos en los sistemas afectados. Dado el uso extensivo de Apache Tomcat en entornos empresariales, esta vulnerabilidad representa un riesgo sistémico significativo.
¿Qué es la falla CVE-2025-24813 en Apache Tomcat?
Esta vulnerabilidad en Apache Tomcat se origina por un manejo incorrecto de la equivalencia de rutas al procesar nombres de archivos que contienen puntos internos (ej. archivo.Nombre). Específicamente, cuando el servlet predeterminado de Apache Tomcat está configurado con permisos de escritura y permite solicitudes PUT parciales, un atacante puede evadir restricciones y realizar acciones no autorizadas, comprometiendo la integridad de Apache Tomcat.
Mecanismo de explotación: PUT parcial en Apache Tomcat
El ataque aprovecha la función de "PUT parcial" de Apache Tomcat, que está habilitada por defecto. Un atacante envía una solicitud HTTP PUT maliciosa a Apache Tomcat para cargar un archivo de sesión serializado que contiene un payload de Java. Debido a la falla de equivalencia de ruta, este archivo se almacena en el directorio de persistencia de sesiones, esperando ser deserializado para ejecutar comandos maliciosos.
Precondiciones críticas para la vulnerabilidad en Apache Tomcat
Para que una instancia de Apache Tomcat sea vulnerable a RCE, deben cumplirse varias condiciones simultáneamente:
-
Escritura habilitada: El parámetro
readonlyenconf/web.xmldebe estar enfalse(deshabilitado por defecto en Apache Tomcat). -
PUT parcial activo: Esta función suele estar activada por defecto en Apache Tomcat.
-
Persistencia de sesión: Apache Tomcat debe estar configurado para usar persistencia de sesión basada en archivos en su ubicación predeterminada.
-
Bibliotecas vulnerables: La aplicación en Apache Tomcat debe incluir bibliotecas que puedan ser aprovechadas para ataques de deserialización.
Riesgos de RCE y filtración de datos en Apache Tomcat
Si se cumplen las precondiciones, un atacante no autenticado puede lograr una ejecución remota de código (RCE) enviando una solicitud GET con un JSESSIONID diseñado para activar el archivo malicioso previamente cargado en Apache Tomcat. Incluso sin RCE, la vulnerabilidad en Apache Tomcat permite la divulgación de información sensible o la inyección de contenido malicioso en archivos legítimos del servidor.
Cómo proteger su instancia de Apache Tomcat: Actualizaciones y parches
La medida más efectiva es actualizar Apache Tomcat a las versiones que corrigen este fallo:
-
Actualice a Apache Tomcat 11.0.3 o posterior.
-
Actualice a Apache Tomcat 10.1.35 o posterior.
-
Actualice a Apache Tomcat 9.0.99 o posterior.
Además, se recomienda revisar la configuración de Apache Tomcat para asegurar que el servlet predeterminado sea de solo lectura y deshabilitar el soporte de PUT parcial si no es estrictamente necesario para la operación de su aplicación en Apache Tomcat.
Se ha descubierto una vulnerabilidad grave, CVE-2025-24813 , en Apache Tomcat, que podría permitir a atacantes ejecutar código remoto, divulgar información confidencial o corromper datos.
No deje su infraestructura Java expuesta. La vulnerabilidad en Apache Tomcat está siendo explotada activamente. Proteja sus servidores hoy mismo aplicando los últimos parches de seguridad y optimizando su configuración con Lansweeper.
Referencias: cybersecuritynews.com securityonline.info
Por : E-dea Networks
