Apache corrige vulnerabilidade crítica no Tomcat

A vulnerabilidade corrigida no Apache Tomcat foi identificada como CVE-2024-56337 e é uma mitigação completa da vulnerabilidade CVE-2024-50379, corrigida durante o mês de dezembro, mas que revelou falhas em algumas versões mais antigas do Java.

O Apache Tomcat, amplamente utilizado em ambientes empresariais e por fornecedores de SaaS para executar aplicações web Java, oferece suporte para tecnologias como Java Servlets e JavaServer Pages (JSP). A vulnerabilidade afeta versões específicas do Tomcat (11.0.0-M1 a 11.0.1, 10.1.0-M1 a 10.1.33 e 9.0.0.M1 a 9.0.97), com risco elevado para sistemas que utilizam configurações de servlet padrão com gravação habilitada em sistemas de arquivos sensíveis a maiúsculas e minúsculas.

A falha, que envolve uma vulnerabilidade de tempo entre a verificação e a execução de uma ação, é mais grave quando o servidor é executado em sistemas de arquivos que não diferenciam maiúsculas de minúsculas, o que afeta principalmente as versões do Tomcat em execução com máquinas virtuais mais antigas do Java. A Apache recomenda ajustes manuais nas configurações de sistema para corrigir completamente o problema. Para sistemas com Java 8 ou 11, é necessário definir a propriedade 'sun.io.useCanonCaches' como 'false', enquanto para Java 17, caso esta propriedade esteja definida, também precisa de ser alterada para 'false'. Para Java 21 em diante, não há necessidade de configuração, já que a propriedade foi removida.

Em resposta ao risco contínuo, a Apache anunciou que as próximas versões do Tomcat (11.0.3, 10.1.35 e 9.0.99) vão implementar verificações automáticas para garantir que a configuração 'sun.io.useCanonCaches' seja definida corretamente antes de permitir o acesso de gravação ao servlet padrão. Estas mudanças visam aumentar a segurança e evitar a exploração de vulnerabilidades semelhantes no futuro, além de reforçar a proteção contra ataques de execução remota de código.

Os administradores do Apache Tomcat são aconselhados a atualizar para as versões mais recentes do servidor (11.0.2, 10.1.34 e 9.0.98) e realizar as modificações manuais mencionadas para mitigar completamente o risco associado ao CVE-2024-56337.