CVE-2024-56337

Résumé

Vulnérabilité de type Time-of-check Time-of-use (TOCTOU) — condition de concurrence (race condition) — dans Apache Tomcat. Ce problème affecte Apache Tomcat : de 11.0.0-M1 à 11.0.1, de 10.1.0-M1 à 10.1.33, de 9.0.0.M1 à 9.0.97. Les versions suivantes étaient en fin de vie (EOL) au moment de la création du CVE, mais sont connues pour être affectées : de 8.5.0 à 8.5.100. D'autres versions plus anciennes en fin de vie peuvent également être affectées. L'atténuation de CVE-2024-50379 était incomplète. Les utilisateurs exécutant Tomcat sur un système de fichiers insensible à la casse avec l'écriture du servlet par défaut activée (paramètre d'initialisation readonly défini sur la valeur non défaut false) peuvent avoir besoin d'une configuration supplémentaire pour atténuer complètement CVE-2024-50379, selon la version de Java utilisée avec Tomcat : - sous Java 8 ou Java 11 : la propriété système sun.io.useCanonCaches doit être explicitement définie sur false (elle est définie sur true par défaut) - sous Java 17 : la propriété système sun.io.useCanonCaches, si elle est définie, doit être définie sur false (elle est définie sur false par défaut) - sous Java 21 et versions ultérieures : aucune configuration supplémentaire n'est requise (la propriété système et le cache problématique ont été supprimés) Tomcat 11.0.3, 10.1.35 et 9.0.99 et versions ultérieures incluront des vérifications pour s'assurer que sun.io.useCanonCaches est défini de manière appropriée avant d'autoriser l'activation de l'écriture du servlet par défaut sur un système de fichiers insensible à la casse. Tomcat définira également sun.io.useCanonCaches sur false par défaut lorsque cela sera possible.

• CVE-2024-50379Exploit

  tomcat CVE-2024-50379/CVE-2024-56337 exploit de téléversement de fichier par course critique