教育数字化知识图谱

一、漏洞描述

Apache Tomcat是美国阿帕奇（Apache）软件基金会的一款轻量级Web应用服务器。该程序实现了对Servlet和JavaServer Page（JSP）的支持。

Apache Tomcat中存在远程代码执行漏洞，该漏洞是由于web.xml中开启readonly为false的配置，攻击者可利用该漏洞以条件竞争进行文件上传导致命令执行。

二、漏洞风险等级

漏洞威胁等级： 高危

三、影响范围

Apache Tomcat 11.0.0-M1 to 11.0.1

Apache Tomcat 10.1.0-M1 to 10.1.33

Apache Tomcat 9.0.0.M1 to 9.0.97

四、修复建议

1、根据业务需求评估，将 conf/web.xml文件中的 readonly 参数设置为 true 或注释该参数，禁用 PUT 方法并重启 Tomcat 服务以使配置生效，从而临时规避该安全风险。

2、建议升级至安全版本及其之后。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-48575

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-50379

https://lists.apache.org/thread/y6lj6q1xnp822g6ro70tn19sgtjmr80r