Informazioni sul CVE-2025-24813
Apache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUT
CWE ID: CWE-44
Base Score (CVSS): N/A
CVE: CVE-2025-24813
Descrizione: Percorso Equivalenza: ‘file.Name’ (Punto Interno) che porta esecuzione di codice remoto e/o divulgazione di informazioni e/o contenuto dannoso aggiunto ai file caricati tramite scrittura abilitata per il servlet di default Apache Tomcat. Questo problema si verifica in Apache Tomcat: da 11.0.0-M1 a 11.0.2, da 10.1.0-M1 a 10.1.34, da 9.0.0-M1 a 9.0.98. Se tutte le seguenti condizioni fossero vere, un utente malintenzionato poteva visualizzare file sensibili alla sicurezza e/o inietta contenuti in quei file tramite caricamento di file. -Scrittura abilitata per il servlet di default (disabilitata per impostazione predefinita) -Supporto per PUT parziale (abilitato per impostazione predefinita) -Un URL di destinazione per caricamenti sensibili alla sicurezza che era un sottodirectorio di un URL di destinazione per caricamenti pubblici -Conoscenza dell’elenco dei nomi di file sensibili alla sicurezza che vengono caricati -Il caricamento di file sensibili alla sicurezza tramite PUT Se tutte le seguenti condizioni fossero vere, un utente malintenzionato poteva eseguire esecuzione di codice remoto: -Scrittura abilitata per il servlet di default (disabilitata per impostazione predefinita) -Supporto per PUT parziale (abilitato per impostazione predefinita) -L’applicazione utilizzava la persistenza delle sessioni basate su file in Apache Tomcat con la posizione di archiviazione predefinita -L’applicazione includeva una libreria che potrebbe essere sfruttata in un attacco di deserializzazione Si raccomanda di aggiornare alla versione 11.0.3, 10.1.35 o 9.0.99, che risolve il problema.**
Vettore di attacco
Punteggio CVSS
Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.
Riassunto: .
Dettaglio del Vettore
| Metrica | Valore | Significato | Descrizione |
|---|
Riferimenti esterni
Prodotti interessati
- Apache Software Foundation – Apache Tomcat
Relazioni con altri prodotti
Produttore:Apache Software Foundation
Prodotto: Apache Tomcat
Anno: 2025
CWE: CWE-44
CVSS: 0.0