CVE-2024-56337
Açıklama
Apache Tomcat'te bir Time-of-check Time-of-use (TOCTOU) Yarış Durumu (Race Condition) zafiyeti bulunmaktadır. Bu sorun şu Apache Tomcat sürümlerini etkilemektedir: 11.0.0-M1 ile 11.0.1 arası, 10.1.0-M1 ile 10.1.33 arası ve 9.0.0.M1 ile 9.0.97 arası. Aşağıdaki sürümler CVE oluşturulduğu sırada EOL durumundaydı ancak etkilendiği bilinmektedir: 8.5.0 ile 8.5.100 arası. Diğer daha eski EOL sürümleri de etkilenmiş olabilir. CVE-2024-50379 için uygulanan hafifletme önlemi eksikti. Varsayılan servlet yazma özelliği etkinleştirilmiş (readonly başlangıç parametresi varsayılan olmayan değer olan false olarak ayarlanmış) şekilde büyük/küçük harf duyarsız bir dosya sistemi üzerinde Tomcat çalıştıran kullanıcılar, Tomcat ile kullandıkları Java sürümüne bağlı olarak CVE-2024-50379'u tamamen gidermek için ek yapılandırmaya ihtiyaç duyabilirler: - Java 8 veya Java 11 kullanılıyorsa: sun.io.useCanonCaches sistem özelliği açıkça false olarak ayarlanmalıdır (varsayılan değeri true'dur). - Java 17 kullanılıyorsa: sun.io.useCanonCaches sistem özelliği, eğer ayarlanmışsa, false olarak ayarlanmalıdır (varsayılan değeri false'dur). - Java 21 ve sonrası kullanılıyorsa: başka bir yapılandırmaya gerek yoktur (sistem özelliği ve sorunlu önbellek kaldırılmıştır). Tomcat 11.0.3, 10.1.35 ve 9.0.99 ve sonrası sürümler, büyük/küçük harf duyarsız bir dosya sisteminde varsayılan servletin yazılabilir olmasına izin vermeden önce sun.io.useCanonCaches özelliğinin uygun şekilde ayarlanıp ayarlanmadığını kontrol eden denetimler içerecektir. Tomcat ayrıca mümkün olduğu yerlerde sun.io.useCanonCaches özelliğini varsayılan olarak false şeklinde ayarlayacaktır.
Nasıl düzeltilir
- apache tomcat9.0.98, 10.1.34, 11.0.2 ya da sonraki bir sürüm
- org.apache.tomcat:tomcat-catalina11.0.2, 10.1.34 ya da sonraki bir sürüm
- org.apache.tomcat:tomcat-embed-core9.0.98 ya da sonraki bir sürüm
- org.apache.tomcat.embed:tomcat-embed-core11.0.2, 10.1.34, 9.0.98 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache tomcat | 9.0.0 ≤ v < 9.0.98, 10.1.0 ≤ v < 10.1.34, 11.0.0 ≤ v < 11.0.2 | 9.0.98, 10.1.34, 11.0.2 |
| netapp bootstrap_os | Aralık belirtilmemiş | — |
| org.apache.tomcat:tomcat-catalinaMaven | 11.0.0-M1 ≤ v < 11.0.2, 10.1.0-M1 ≤ v < 10.1.34 | 11.0.2, 10.1.34 |
| org.apache.tomcat:tomcat-embed-coreMaven | 9.0.0.M1 ≤ v < 9.0.98 | 9.0.98 |
| org.apache.tomcat.embed:tomcat-embed-coreMaven | 11.0.0-M1 ≤ v < 11.0.2, 10.1.0-M1 ≤ v < 10.1.34, 9.0.0.M1 ≤ v < 9.0.98 | 11.0.2, 10.1.34, 9.0.98 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.