CVE-2025-24813

Résumé

Équivalence de chemin : 'file.Name' (point interne) conduisant à une exécution de code à distance et/ou à une divulgation d'informations et/ou à l'ajout de contenu malveillant aux fichiers téléversés via le servlet par défaut avec écriture activée dans Apache Tomcat. Ce problème affecte Apache Tomcat : de 11.0.0-M1 à 11.0.2, de 10.1.0-M1 à 10.1.34, de 9.0.0.M1 à 9.0.98. Les versions suivantes étaient en fin de vie (EOL) au moment où le CVE a été créé, mais sont connues pour être affectées : 8.5.0 à 8.5.100. D'autres versions plus anciennes en fin de vie peuvent également être affectées. Si toutes les conditions suivantes étaient réunies, un utilisateur malveillant pouvait consulter des fichiers sensibles à la sécurité et/ou injecter du contenu dans ces fichiers : - écriture activée pour le servlet par défaut (désactivée par défaut) - prise en charge du PUT partiel (activée par défaut) - une URL cible pour les téléversements sensibles à la sécurité qui était un sous-répertoire d'une URL cible pour les téléversements publics - la connaissance par l'attaquant des noms des fichiers sensibles à la sécurité téléversés - les fichiers sensibles à la sécurité étant également téléversés via un PUT partiel Si toutes les conditions suivantes étaient réunies, un utilisateur malveillant pouvait exécuter du code à distance : - écriture activée pour le servlet par défaut (désactivée par défaut) - prise en charge du PUT partiel (activée par défaut) - l'application utilisait la persistance de session basée sur les fichiers de Tomcat avec l'emplacement de stockage par défaut - l'application incluait une bibliothèque pouvant être exploitée dans une attaque par désérialisation Il est recommandé aux utilisateurs de mettre à niveau vers les versions 11.0.3, 10.1.35 ou 9.0.99, qui corrigent le problème.

Sources