Błąd równoważności ścieżek w Apache Tomcat pozwala przez częściowy PUT zapisać treść poza przewidzianym miejscem i uruchomić kod na serwerze. Prognoza wykorzystania bliska pewności. Zaktualizuj do 9.0.99, 10.1.35 lub 11.0.3 i sprawdź konfigurację.
Ten alert jest dla zarządu, CTO i CFO firm, które korzystają z systemów działających na serwerze aplikacji Apache Tomcat (często ukrytym wewnątrz oprogramowania kadrowego, magazynowego lub obiegu dokumentów). Werdykt: jeśli Tomcat ma wersję sprzed 9.0.99, 10.1.35 lub 11.0.3 i ktoś włączył w nim zapis w domyślnym serwlecie, zaktualizuj go i sprawdź konfigurację w tym tygodniu, bo prognoza wykorzystania jest bliska pewności.
Amerykańska agencja CISA 1 kwietnia 2025 roku dopisała podatność CVE-2025-24813 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Apache Tomcat, oprogramowania uruchamiającego aplikacje w Javie. Przez mechanizm częściowego PUT (przesyłanie pliku kawałkami) można było zapisać treść w innym miejscu, niż wskazywała nazwa pliku, co przy zbiegu warunków prowadziło do wykonania kodu, wycieku danych lub podmiany treści.
Poprawki (9.0.99, 10.1.35, 11.0.3) wydano 10 lutego 2025 roku, miesiąc przed publicznym ujawnieniem błędu (10 marca). Termin naprawy wyznaczony przez CISA minął 22 kwietnia 2025 roku. Luka może być łączona w łańcuch z inną, późniejszą podatnością.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24813 |
Data dodania do CISA KEV | 2025-04-01 |
Termin naprawy wg CISA | 2025-04-22 |
Produkt | Apache Tomcat (serwer aplikacji Java, często wbudowany w inne systemy) |
Wersje zagrożone | 11.0.0-M1 do 11.0.2, 10.1.0-M1 do 10.1.34, 9.0.0.M1 do 9.0.98. Znana jako podatna także linia 8.5.0 do 8.5.100 (bez wsparcia). Ryzyko powstaje przy włączonym zapisie w domyślnym serwlecie (fabrycznie wyłączony) i włączonym częściowym PUT (fabrycznie włączony) |
Wersje bezpieczne | 9.0.99, 10.1.35, 11.0.3 i nowsze. Dla linii 8.5 (bez wsparcia): przejście na wspieraną gałąź |
Typ podatności | Równoważność ścieżek połączona z odtwarzaniem obiektów z niezaufanych danych; CWE-44 i CWE-502 (NVD: CWE-502 i CWE-706) |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA). CISA: 10.0 (CVSS 3.1, KRYTYCZNA). Producent: waga „ważny”. Atak przez sieć, bez uprawnień, bez udziału użytkownika |
Wyobraź sobie szatnię, w której wieszaki są opisane numerami, ale dwa różne zapisy tego samego numeru (na przykład „12” i „012”) prowadzą do tej samej półki. Obsługa traktuje je jak dwa różne miejsca, więc podając odpowiednio zapisany numer, można podłożyć swoją rzecz tam, gdzie leżą cudze. Tak działa równoważność ścieżek: dwa zapisy nazwy pliku wskazują to samo miejsce na dysku, a program uznaje je za różne.
W Tomcacie mechanizm przesyłania pliku kawałkami budował nazwę pliku tymczasowego z danych podanych przez wysyłającego, zamieniając separator ścieżki na kropkę. Sprytnie ułożona nazwa pozwalała zapisać treść poza przewidzianym folderem. Przy dodatkowych warunkach (przechowywanie sesji w plikach i podatna biblioteka) prowadziło to do uruchomienia kodu napastnika. Kluczowe: ryzyko powstaje dopiero, gdy ktoś włączył zapis w domyślnym serwlecie, co fabrycznie jest wyłączone.
💡 Apache Tomcat to serwer, który uruchamia aplikacje napisane w Javie; często działa w tle wewnątrz kupionego systemu. Domyślny serwlet to składnik Tomcata obsługujący pliki; jego tryb zapisu jest fabrycznie wyłączony. Częściowy PUT to przesyłanie pliku w kawałkach. Równoważność ścieżek to sytuacja, w której dwie różne nazwy wskazują to samo miejsce.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przesłanie pliku kawałkami | Plik trafia tam, gdzie wskazuje nazwa | Może trafić poza przewidziany folder |
Zapis w domyślnym serwlecie | Fabrycznie wyłączony, brak ryzyka | Jeśli ktoś włączył, otwiera drogę do ataku |
Przechowywanie sesji w plikach | Bezpieczne | Przy podatnej bibliotece umożliwia wykonanie kodu |
Konfiguracja domyślna | Nie spełnia kompletu warunków | Ryzyko dopiero po zmianach wprowadzonych kiedyś ręcznie |
Widoczność w firmie | Serwer aplikacji ukryty w kupionym systemie | Ten sam ukryty serwer bywa podatny |
źródło: Pexels, Alari TammsaluPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga logowania, ale wymaga, by na serwerze zbiegło się kilka warunków (m.in. włączony zapis w domyślnym serwlecie). CISA ocenia atak jako automatyzowalny, więc napastnicy skanują internet w poszukiwaniu pasujących serwerów.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie serwerów Tomcat i sprawdzanie wersji oraz konfiguracji | Lista kandydatów |
2. Test warunków | T+minuty | Sprawdzenie, czy działa częściowy PUT i zapis w domyślnym serwlecie | Potwierdzony podatny serwer |
3. Wysłanie treści | T+minuty | Przesłanie spreparowanego pliku częściowym PUT | Treść zapisana poza przewidzianym folderem |
4. Wykonanie kodu | T+minuty | Wykorzystanie przechowywania sesji i podatnej biblioteki | Kod napastnika działa na serwerze |
5. Kradzież danych | T+godziny do dni | Odczyt plików aplikacji, dokumentów, danych klientów | Wyciek danych |
6. Ekspansja | T+dni | Wejście do sieci wewnętrznej z przejętego serwera | Szersze włamanie |
Tomcat rzadko kupuje się świadomie: przyjeżdża w środku innego oprogramowania i działa w tle. Dlatego wypada z list aktualizacji i z rozmów o bezpieczeństwie. Mimo licznych warunków wykorzystania prognoza ataku jest tu bliska pewności, bo skanowanie internetu jest tanie, a napastnik atakuje tylko te nieliczne serwery, które pasują.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przeinstalowanie serwera aplikacji, przerwa w działaniu systemu firmowego | Dni | 20 tys. do 200 tys. PLN (przestój, praca IT) |
Bezpieczeństwo danych | Wyciek dokumentów, danych kadrowych lub klientów z aplikacji | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, ewentualne przestoje w kluczowych procesach | Tygodnie | 30 tys. do 400 tys. PLN |
Reputacyjny | Wyciek dokumentacji klientów lub danych pracowników | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Tomcata bez poprawki z włączonym zapisem
w domyślnym serwlecie
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla serwera spełniającego warunki (włączony zapis, częściowy PUT, przechowywanie sesji w plikach) ryzyko jest krytyczne: EPSS około 0,999, publiczne wykorzystanie, wykonanie kodu; serwer przy ustawieniach domyślnych i zaktualizowany nie spełnia kompletu warunków i ryzyko jest znacznie niższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, na których serwerach i w jakich systemach działa Apache Tomcat i w jakiej wersji | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy zapis w domyślnym serwlecie jest włączony; jeśli nie jest potrzebny, wyłączyć | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Zaktualizować Tomcat do 9.0.99, 10.1.35 lub 11.0.3 albo nowszej wersji w swojej linii | Dziś lub w najbliższym oknie | Administrator / dostawca systemu |
4 | 🟠 PILNIE | Dla serwerów na linii 8.5 (bez wsparcia) ustalić z dostawcą przejście na wspieraną gałąź | Do 7 dni | CTO / dostawca |
5 | 🟠 PILNIE | Sprawdzić serwer pod kątem nieznanych plików i śladów wykonania kodu | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ograniczyć dostęp do serwerów aplikacji z internetu, jeśli nie jest wymagany | Do 14 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Dopisać serwery aplikacji (także ukryte w kupionych systemach) do rejestru objętego aktualizacjami | Do 30 dni | CTO |
Producent wydał poprawki dla wspieranych linii. Poniższe miary ograniczają ryzyko, gdy aktualizacja musi poczekać (np. czeka na dostawcę systemu). Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie zapisu w domyślnym serwlecie, jeśli aplikacja go nie wymaga | Wysoka: usuwa kluczowy warunek ataku | Średnia: wymaga sprawdzenia, czy aplikacja działa bez niego |
Wyłączenie obsługi częściowego PUT | Wysoka | Średnia |
Ograniczenie dostępu do serwera z internetu | Średnia do wysokiej | Średnia |
Monitorowanie nowych plików i nietypowych żądań PUT | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Tomcata | Sprzed 9.0.99 / 10.1.35 / 11.0.3 | Zaktualizowana |
Zapis w domyślnym serwlecie | Możliwe, że włączony bez potrzeby | Wyłączony, jeśli niepotrzebny |
Serwery na linii 8.5 | Bez ścieżki aktualizacji | Zaplanowane przejście na wspieraną gałąź |
Widoczność serwerów aplikacji | Ukryte w kupionych systemach | Spisane i objęte aktualizacjami |
Ślady włamania | Niesprawdzone | Serwer przejrzany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 10.0 wg CISA (CVSS 3.1); producent: „ważny” |
PoC dostępny publicznie? | Brak jednoznacznej informacji w analizowanych źródłach; problem opisany publicznie |
Liczba atakowanych firm | Brak publicznych informacji |
Łańcuch | Może być łączona z inną, późniejszą podatnością (wg opisu KEV) |
Prognoza EPSS | Około 0,999, praktycznie szczyt skali (wg analizy źródłowej) |
Producent nazywa błąd „ważnym”, a NVD i CISA dają mu 9.8 i 10.0. Różnica dotyczy tego, czy skutki wychodzą poza zaatakowany komponent. Dla firmy istotniejsze od punktacji jest pytanie, czy konfiguracja serwera spełnia warunki wykorzystania.
Sygnały zagrożenia dla CVE-2025-24813
CVSS 3.1 (NVD) 9.8/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (CISA) 10.0/10 ████████████████████ KRYTYCZNA
EPSS 0,999 ████████████████████ praktycznie pewność
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-01-13 Zgłoszenie błędu zespołowi Apache
2025-02-10 Wydanie wersji z poprawką (9.0.99, 10.1.35, 11.0.3)
2025-03-10 Publiczne ujawnienie i publikacja CVE
2025-04-01 CISA dodaje lukę do katalogu KEV
2025-04-22 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Ogłoszenie projektu Apache Tomcat: lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24813 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać dostawców naszych systemów, na jakiej wersji Tomcata działają i kiedy była aktualizowana | CTO | DZISIAJ |
2 | Zlecić sprawdzenie, czy w naszych Tomcatach włączony jest zapis w domyślnym serwlecie | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację i wyłączenie zbędnych funkcji | CTO | DZISIAJ |
4 | Ustalić, czy któryś system działa na Tomcacie 8.5 bez wsparcia | CTO | DO JUTRA |
5 | Zlecić sprawdzenie serwerów pod kątem śladów włamania | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualne przejście na nowszą wersję systemu dostawcy | CFO | DO JUTRA |
7 | Wpisać do umów z dostawcami obowiązek aktualizacji składników takich jak Tomcat | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Które nasze systemy działają na Apache Tomcat? | [lista] | 🔴 |
2 | Jaka jest wersja Tomcata w każdym z nich? | [wersje] | 🔴 |
3 | Czy w którymś z nich włączony jest zapis w domyślnym serwlecie? | TAK / NIE | 🔴 |
4 | Czy zaktualizowaliśmy do 9.0.99, 10.1.35 lub 11.0.3 (albo nowszej)? | TAK / NIE, [data] | 🟠 |
5 | Czy któryś system działa na Tomcacie 8.5 bez wsparcia? | TAK / NIE | 🟠 |
6 | Czy serwery aplikacji są dostępne z internetu? | TAK / NIE | 🟠 |
7 | Czy sprawdzono serwery pod kątem nieznanych plików i śladów włamania? | TAK / NIE, [data] | 🟡 |
CVE-2025-24813 pozwala przez mechanizm częściowego PUT zapisać treść poza przewidzianym miejscem i, przy zbiegu warunków, uruchomić kod na serwerze Apache Tomcat, a prognoza wykorzystania jest bliska pewności. Poprawki są dostępne od lutego 2025 roku, termin CISA minął 22 kwietnia 2025 roku, więc odnalezienie Tomcata w firmowych systemach, sprawdzenie konfiguracji i aktualizacja to zadania na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.