Apache Tomcat, en sus versiones de 9.0.0.M1 a 9.0.98, de 10.1.0-M1 a 10.1.34 y de 11.0.0-M1 a 11.0.2, presenta una vulnerabilidad crítica que permite la ejecución remota de código debido a una condición de carrera (race condition). Con más de 130.000 instancias expuestas en línea, esta vulnerabilidad representa un riesgo relevante para las organizaciones a nivel global.

Producto	Apache Tomcat
Fecha	2024-12-24 13:35:38
Información	Tendencia Corrección disponible

Resumen técnico

La vulnerabilidad deriva de una condición de carrera en la gestión de cargas de archivos y en el tratamiento de rutas con sensibilidad a mayúsculas/minúsculas en Apache Tomcat. Un atacante puede explotarla:

1. Enviando solicitudes PUT simultáneas con extensiones de archivo no estándar (por ejemplo, .Jsp en lugar de .jsp)
2. Realizando simultáneamente solicitudes GET a la misma ruta con extensiones estándar
3. Aprovechando la falta de sensibilidad a mayúsculas/minúsculas del sistema de archivos del servidor para ejecutar código malicioso

Esta vulnerabilidad es particularmente peligrosa porque:

• Afecta a múltiples versiones principales de Tomcat
• Puede llevar a la ejecución de código de forma remota
• Está presente en las configuraciones predeterminadas
• Un número relevante de instancias vulnerables sigue expuesto

Impacto

La explotación exitosa podría permitir a los atacantes:

• Ejecutar código arbitrario en el sistema objetivo
• Obtener acceso no autorizado a datos sensibles
• Establecer un acceso persistente al sistema
• Desplazarse lateralmente hacia otros sistemas en la red
• Comprometer la integridad de las aplicaciones web

Recomendaciones

1. Acciones inmediatas:

   • Actualizar Apache Tomcat a las siguientes versiones o superiores:
     • 9.0.98 para Tomcat 9.x
     • 10.1.34 para Tomcat 10.x
     • 11.0.2 para Tomcat 11.x

2. Fortalecimiento de la configuración:

   • Implementar restricciones rigurosas para la carga de archivos
   • Configurar la gestión correcta de las extensiones de archivo
   • Habilitar el modo de solo lectura (readonly) para el servlet predeterminado siempre que sea posible
   • Revisar y limitar los métodos HTTP PUT/DELETE si no son necesarios

3. Medidas de seguridad adicionales:

   • Aplicar reglas WAF (Web Application Firewall) para detectar y bloquear intentos de explotación
   • Monitorear patrones sospechosos en las cargas de archivos y en las solicitudes concurrentes
   • Considerar la implementación de segmentación de red para limitar la exposición

[Callforaction-THREAT-Footer]