教育数字化知识图谱

一、漏洞详情

Apache Tomcat 是一个开源的 Java Servlet 容器，广泛用于运行 Java Web 应用程序。

近日，监测到官方修复 Apache Tomcat 远程代码执行漏洞 (CVE-2024-50379) ，该漏洞是由于 Tomcat 在验证文件路径时存在缺陷，如果 readonly 参数被设置为 false （这是一个非标准配置），并且服务器允许通过 PUT 方法上传文件，那么攻击者就可以上传含有恶意 JSP 代码的文件。通过不断地发送请求，攻击者可以利用条件竞争，使得 Tomcat 解析并执行这些恶意文件，从而实现远程代码执行。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻

二、影响范围

11.0.0-M1 <= Apache Tomcat < 11.0.2

10.1.0-M1 <= Apache Tomcat < 10.1.34

9.0.0.M1 <= Apache Tomcat < 9.0.98

三、修复建议

Apache 官方已发布安全通告并发布了修复版本，请尽快下载安全版本修复漏洞：

Apache Tomcat 11.0.2

Apache Tomcat 10.1.3

4Apache Tomcat 9.0.98