CVE-2024-56337
Təsvir
Apache Tomcat-da Time-of-check Time-of-use (TOCTOU) Yarış Vəziyyəti (Race Condition) zəifliyi aşkar edilmişdir. Bu problem Apache Tomcat-in aşağıdakı versiyalarına təsir edir: 11.0.0-M1-dən 11.0.1-ə qədər, 10.1.0-M1-dən 10.1.33-ə qədər, 9.0.0.M1-dən 9.0.97-yə qədər. CVE yaradıldığı zaman aşağıdakı versiyaların dəstəklənmə müddəti başa çatmışdı (EOL), lakin onların da təsirləndiyi məlumdur: 8.5.0-dan 8.5.100-ə qədər. Digər daha köhnə və EOL olan versiyalar da təsirlənmiş ola bilər. CVE-2024-50379 üçün tətbiq edilən təhlükəsizlik tədbiri natamam idi. Default servlet yazma funksiyası aktiv olan (readonly ilkin parametri standart olmayan false dəyərinə təyin edilmiş) və böyük-kiçik hərflərə qarşı həssas olmayan fayl sistemi üzərində Tomcat işlədən istifadəçilər, Tomcat ilə hansı Java versiyasından istifadə etdiklərindən asılı olaraq, CVE-2024-50379-u tam şəkildə aradan qaldırmaq üçün əlavə konfiqurasiyaya ehtiyac duya bilərlər: - Java 8 və ya Java 11-də işləyərkən: sun.io.useCanonCaches sistem xüsusiyyəti açıq şəkildə false olaraq təyin edilməlidir (standart olaraq true-dur). - Java 17-də işləyərkən: sun.io.useCanonCaches sistem xüsusiyyəti, əgər təyin edilibsə, false olaraq təyin edilməlidir (standart olaraq false-dur). - Java 21 və daha yeni versiyalarda işləyərkən: əlavə konfiqurasiya tələb olunmur (sistem xüsusiyyəti və problemli keş silinib). Tomcat 11.0.3, 10.1.35 və 9.0.99 versiyaları və onlardan sonrakılar, böyük-kiçik hərflərə qarşı həssas olmayan fayl sistemində default servlet-in yazma funksiyasına icazə verməzdən əvvəl sun.io.useCanonCaches parametrinin düzgün təyin edilib-edilmədiyini yoxlayan mexanizmləri daxil edəcək. Həmçinin Tomcat, mümkün olduğu hallarda sun.io.useCanonCaches parametrini standart olaraq false olaraq təyin edəcək.
Necə düzəltmək olar
- apache tomcat9.0.98, 10.1.34, 11.0.2 və ya daha yeni versiya
- org.apache.tomcat:tomcat-catalina11.0.2, 10.1.34 və ya daha yeni versiya
- org.apache.tomcat:tomcat-embed-core9.0.98 və ya daha yeni versiya
- org.apache.tomcat.embed:tomcat-embed-core11.0.2, 10.1.34, 9.0.98 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache tomcat | 9.0.0 ≤ v < 9.0.98, 10.1.0 ≤ v < 10.1.34, 11.0.0 ≤ v < 11.0.2 | 9.0.98, 10.1.34, 11.0.2 |
| netapp bootstrap_os | Aralıq göstərilməyib | — |
| org.apache.tomcat:tomcat-catalinaMaven | 11.0.0-M1 ≤ v < 11.0.2, 10.1.0-M1 ≤ v < 10.1.34 | 11.0.2, 10.1.34 |
| org.apache.tomcat:tomcat-embed-coreMaven | 9.0.0.M1 ≤ v < 9.0.98 | 9.0.98 |
| org.apache.tomcat.embed:tomcat-embed-coreMaven | 11.0.0-M1 ≤ v < 11.0.2, 10.1.0-M1 ≤ v < 10.1.34, 9.0.0.M1 ≤ v < 9.0.98 | 11.0.2, 10.1.34, 9.0.98 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.