Udnyttet sårbarhed
Apache Tomcat Time-of-check Time-of-use (TOCTOU) Race Condition
Time-of-check Time-of-use (TOCTOU) Race Condition-sårbarhed i Apache Tomcat. Dette problem påvirker Apache Tomcat: fra 11.0.0-M1 gennem 11.0.1, fra 10.1.0-M1 gennem 10.1.33, fra 9.0.0.M1 gennem 9.0.97. Følgende versioner var EOL på det tidspunkt, CVE'en blev oprettet, men er kendt for at være påvirket: 8.5.0 gennem 8.5.100. Andre, ældre, EOL-versioner kan også være påvirket. Udbedringsmidlet for CVE-2024-50379 var ufuldstændigt. Brugere, der kører Tomcat på et case-insensitivt filsystem med standardservletten skrivbar aktiveret (readonly-initialiseringsparameter indstillet til den ikke-standardværdi false) kan have brug for yderligere konfiguration for fuldt ud at afbøde CVE-2024-50379 afhængigt af hvilken version af Java de bruger med Tomcat: - kørende på Java 8 eller Java 11: systemegenskaben sun.io.useCanonCaches skal eksplicit sættes til false (den er som standard true) - kørende på Java 17: systemegenskaben sun.io.useCanonCaches skal, hvis den er indstillet, være indstillet til false (den er som standard false) - kørende på Java 21 og senere: ingen yderligere konfiguration er påkrævet (systemegenskaben og den problematiske cache er blevet fjernet) Tomcat 11.0.3, 10.1.35 og 9.0.99 og senere vil indeholde kontroller, der sikrer, at sun.io.useCanonCaches er indstillet korrekt, før standardservletten må være skrivbar på et case-insensitivt filsystem. Tomcat vil også indstille sun.io.useCanonCaches til false som standard, hvor det er muligt.
Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.
Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD