Aggiornamenti recenti Luglio 10th, 2025 2:02 PM
Mar 18, 2025 Marina Londei Attacchi, Hacking, In evidenza, Minacce, News, RSS, Vulnerabilità 0
Un grave bug che colpisce Apache Tomcat è sfruttato attivamente dai cybercriminali per sferrare attacchi. Ci sono volute appena 30 ore dalla diffusione della notizia prima che gli attaccanti cominciassero a colpire.
La vulnerabilità, tracciata come CVE-2025-24813, consente a un utente malintenzionato di accedere a file di sicurezza e modificarli, oltre che eseguire codice da remoto.
A lanciare l’allarme è stata Wallarm, una compagnia di sicurezza statunitense che ha individuato subito gli attacchi, cominciati dopo la pubblicazione di una PoC su GitHub da parte dell’utente iSee857.
Stando a quando spiegato dall’azienda, l’attacco sfrutta il meccanismo di default per la persistenza della sessione del server per accedere a file sensibili e iniettare contenuto aggiuntivo. Nella prima fase, l’attaccante invia una richiesta PUT per caricare un file di sessione malevolo sul server. Il payload, una volta inviata la richiesta, si occupa di creare un file nella cartella del session storage di Tomcat. “Poiché Tomcat salva automaticamente i dati di sessione nei file, il payload malevolo viene salvato sul disco, in attesa di essere deserializzato“.
La deserializzazione viene eseguita tramite una richiesta GET dell’attaccante contenente il JSESSIONID della sessione malevola. Il server, riconoscendo l’ID di sessione, recupera il file, lo deserializza e provoca l’esecuzione del codice malevolo, concedendo completo accesso alla macchina all’attaccante.
“Questo attacco è semplicissimo da eseguire e non richiede alcuna autenticazione” spiegano i ricercatori di Wallarm. “L’unico requisito è che Tomcat utilizzi un session storage basato su file, cosa comune in molte implementazioni. Peggio ancora, la codifica base64 permette all’exploit di aggirare la maggior parte dei filtri di sicurezza tradizionali, rendendo difficile il rilevamento“.
L’attacco è particolarmente efficace anche perché le richieste inviate non contengono di per sé codice malevolo; inoltre, lo step effettivamente dannoso viene eseguito in un secondo momento, durante la deserializzazione.
Wallarm sottolinea però che il problema maggiore sta nel fatto che Tomcat non gestisce correttamente le richieste PUT, permettendo sostanzialmente di creare file ovunque. “Gli attaccanti cominceranno presto a modificare le loro tattiche, caricando file JSP malevoli, modificando le configurazioni e impiantando backdoor fuori dal session storage. Questa è solo la prima ondata“.
Il bug colpisce le versioni di Apache Tomcat dalla 11.0.0-M1 alla 11.0.2, dalla 10.1.0-M1 alla 10.1.34 e dalla 9.0.0-M1 alla 9.0.98. Il fix è stato pubblicato nella versione 11.0.3 del server. È fondamentale aggiornare il prima possibile la propria versione di Tomcat per proteggersi da questo attacco.
Giu 30, 2025 0
Giu 27, 2025 0
Giu 19, 2025 0
Giu 18, 2025 0
Lug 10, 2025 0
Lug 09, 2025 0
Lug 08, 2025 0
Lug 07, 2025 0
Lug 08, 2025 0
In una recente analisi, Group-IB ha approfondito il ruolo...Lug 03, 2025 0
Recentemente il team Satori Threat Intelligence di HUMAN ha...Giu 09, 2025 0
La cybersecurity sta acquisendo sempre più importanza tra...Mag 30, 2025 0
Nel 2024, le piccole e medie imprese, spesso considerate il...Mag 27, 2025 0
MATLAB ha smesso di funzionare per quasi una settimana e...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Lug 10, 2025 0
Un nuovo gruppo APT entra nei radar dei ricercatori di...Lug 09, 2025 0
Un gruppo di cybercriminali ha rubato circa 140 milioni...Lug 08, 2025 0
In una recente analisi, Group-IB ha approfondito il ruolo...Lug 07, 2025 0
Da giovedì scorso Ingram Micro sta soffrendo per via di...Lug 07, 2025 0
Nella settimana appena trascorsa, il CERT-AGID ha...