BDU:2024-11286

Опубликовано: 17 дек. 2024

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Высокий

Описание

Уязвимость сервлета DefaultServlet сервера приложений Apache Tomcat связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

ООО «Ред Софт»

Apache Software Foundation

АО "НППКТ"

Наименование ПО

РЕД ОС

Apache Tomcat

ОСОН ОСнова Оnyx

Версия ПО

7.3 (РЕД ОС)

от 11.0.0-M1 до 11.0.1 включительно (Apache Tomcat)

от 10.1.0-M1 до 10.1.33 включительно (Apache Tomcat)

от 9.0.0.M1 до 9.0.97 включительно (Apache Tomcat)

до 2.12 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

АО "НППКТ" ОСОН ОСнова Оnyx до 2.12

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://lists.apache.org/thread/y6lj6q1xnp822g6ro70tn19sgtjmr80r

https://tomcat.apache.org/security-11.html

https://tomcat.apache.org/security-10.html

https://tomcat.apache.org/security -9.html

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Компенсирующие меры:

- ограничение возможности загрузки JSP-файлов в каталоги сервера приложений с помощью сервлетов;

- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа к серверу приложений;

- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания подключений к серверу приложений и загрузки файлов;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Обновление программного обеспечения tomcat9 до версии 9.0.43+repack-2~deb11u11.osnova2u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-50379
CVE

EPSS

Процентиль: 100%

0.89324

Высокий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20250110-12

CVSS3: 9.8

redos

5 месяцев назад

Множественные уязвимости tomcat

CVE-2024-50379

CVSS3: 9.8

ubuntu

6 месяцев назад

Time-of-check Time-of-use (TOCTOU) Race Condition vulnerability during JSP compilation in Apache Tomcat permits an RCE on case insensitive file systems when the default servlet is enabled for write (non-default configuration). This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.1, from 10.1.0-M1 through 10.1.33, from 9.0.0.M1 through 9.0.97. Users are recommended to upgrade to version 11.0.2, 10.1.34 or 9.0.98, which fixes the issue.

CVE-2024-50379

CVSS3: 8.1

redhat

6 месяцев назад

CVE-2024-50379

CVSS3: 9.8

nvd

6 месяцев назад

CVE-2024-50379

CVSS3: 9.8

debian

6 месяцев назад

Time-of-check Time-of-use (TOCTOU) Race Condition vulnerability during ...

EPSS

Процентиль: 100%

0.89324

Высокий

9.8 Critical

CVSS3

10 Critical

CVSS2