Apache выпустила обновление безопасности для веб-сервера Tomcat

Apache выпустила обновление безопасности, устраняющее критическую уязвимость в веб-сервере Tomcat. Она может привести к удалённому выполнению кода.

Apache Tomcat — это веб-сервер с открытым исходным кодом и контейнер сервлетов, широко используемый для развёртывания и запуска веб-приложений на основе Java. Он предоставляет среду выполнения для технологий Java Servlets, JavaServer Pages (JSP) и Java WebSocket.

Продукт популярен среди крупных предприятий, которые запускают пользовательские веб-приложения, и поставщиков SaaS, которые используют Java для внутренних служб. Облачные и хостинговые сервисы интегрируют Tomcat для хостинга, а разработчики программного обеспечения используют его для создания, тестирования и развёртывания веб-приложений. 

Уязвимость, исправленная в новом выпуске, отслеживается как CVE-2024-56337. Исправление устраняет возможность реализовать критический баг удалённого выполнения кода (RCE). Поставщик 17 декабря уже выпустил неполное исправление.

Проблема кроется в уязвимости TOCTOU (Time of Check to Time of Use, от времени проверки до времени использования), которая затрагивает системы с включённой записью сервлета по умолчанию (параметр инициализации «readonly» установлен на false) и работающие в файловых системах без учёта регистра.

Проблема затрагивает Apache Tomcat 11.0.0-M1 по 11.0.1, 10.1.0-M1 по 10.1.33 и 9.0.0.M1 по 9.0.97.

Пользователям следует обновиться до последних версий Tomcat: 11.0.2, 10.1.34 и 9.0.98.

Для решения проблемы также требуются дополнительные шаги. В зависимости от используемой версии Java пользователям необходимо:

• для Java 8 или 11 установить системное свойство «sun.io.useCanonCaches» на «false» (по умолчанию: true); 

• для Java 17 убедиться, что свойство «sun.io.useCanonCaches», если оно установлено, настроено на «false» (по умолчанию: false).

Для Java 21 и более поздних версий дополнительная настройка не требуется, так как свойство и проблемный кэш были удалены.

Команда Apache поделилась планами по улучшению безопасности в будущих версиях Tomcat 11.0.3, 10.1.35 и 9.0.99. В частности, сервер проверит, что «sun.io.useCanonCaches» установлен правильно, прежде чем разрешить доступ на запись для сервлета по умолчанию в файловых системах, нечувствительных к регистру, и по возможности установит «sun.io.useCanonCaches» на значение false.

О том, как установить и настроить Tomcat, а также об основном функционале веб-сервера можно прочитать здесь.