Sicherheitslücke in Apache Tomcat: Schnelle Ausnutzung nach Veröffentlichung

MÜNCHEN (IT BOLTWISE) – Eine kürzlich entdeckte Sicherheitslücke in Apache Tomcat wird bereits aktiv ausgenutzt, nur 30 Stunden nach der öffentlichen Bekanntgabe.

Eine kürzlich entdeckte Sicherheitslücke in Apache Tomcat wird bereits aktiv ausgenutzt, nur 30 Stunden nach der öffentlichen Bekanntgabe und der Veröffentlichung eines Proof-of-Concepts. Die Schwachstelle, die als CVE-2025-24813 verfolgt wird, betrifft mehrere Versionen von Apache Tomcat, darunter die Versionen 11.0.0-M1 bis 11.0.2, 10.1.0-M1 bis 10.1.34 und 9.0.0-M1 bis 9.0.98.

Die Sicherheitslücke ermöglicht unter bestimmten Bedingungen eine Remote-Code-Ausführung oder Informationsoffenlegung. Dazu gehören aktivierte Schreibrechte für das Standard-Servlet, die Unterstützung für partielle PUT-Anfragen und das Wissen des Angreifers über die Namen sicherheitsrelevanter Dateien, die hochgeladen werden. Erfolgreiche Angriffe könnten es einem böswilligen Benutzer ermöglichen, sicherheitsrelevante Dateien einzusehen oder beliebige Inhalte in diese Dateien einzufügen.

Besonders besorgniserregend ist die Möglichkeit der Remote-Code-Ausführung, wenn Tomcats dateibasierte Sitzungsbeständigkeit mit dem Standardspeicherort verwendet wird und eine Bibliothek enthalten ist, die in einem Deserialisierungsangriff genutzt werden kann. Die Projektbetreuer haben die Schwachstelle in den Tomcat-Versionen 9.0.99, 10.1.35 und 11.0.3 behoben.

Dennoch gibt es bereits Berichte über Ausnutzungsversuche in der freien Wildbahn. Ein Sicherheitsunternehmen berichtete, dass der Angriff Tomcats Standard-Sitzungsbeständigkeitsmechanismus zusammen mit der Unterstützung für partielle PUT-Anfragen ausnutzt. Der Exploit funktioniert in zwei Schritten: Der Angreifer lädt eine serialisierte Java-Sitzungsdatei über eine PUT-Anfrage hoch und löst die Deserialisierung aus, indem er die bösartige Sitzungs-ID in einer GET-Anfrage referenziert.

Diese Angriffe beinhalten das Senden einer PUT-Anfrage mit einer Base64-codierten serialisierten Java-Nutzlast, die in Tomcats Sitzungspeicherverzeichnis geschrieben wird. Diese wird dann während der Deserialisierung durch das Senden einer GET-Anfrage mit der JSESSIONID, die auf die bösartige Sitzung zeigt, ausgeführt. Das Unternehmen betonte, dass die Schwachstelle trivial auszunutzen ist und keine Authentifizierung erfordert.

Die größere Problematik liegt in der Handhabung von partiellen PUT-Anfragen in Tomcat, die das Hochladen praktisch jeder Datei an beliebigen Orten ermöglichen. Es wird erwartet, dass Angreifer bald ihre Taktiken ändern und bösartige JSP-Dateien hochladen, Konfigurationen ändern und Hintertüren außerhalb des Sitzungspeichers platzieren werden.

Benutzern, die betroffene Versionen von Tomcat verwenden, wird dringend empfohlen, ihre Instanzen so schnell wie möglich zu aktualisieren, um potenzielle Bedrohungen zu mindern.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

152,91 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KI-Sprachrekorder, Plaud NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

152,91 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

89,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!