Tomcat sotto attacco: grave bug sfruttato dopo 30 ore dalla pubblicazione

News Recenti

Tomcat sotto attacco: grave bug sfruttato dopo 30 ore dalla pubblicazione

Mar 18, 2025 Marina Londei Attacchi, Hacking, In evidenza, Minacce, News, RSS, Vulnerabilità 0

Un grave bug che colpisce Apache Tomcat è sfruttato attivamente dai cybercriminali per sferrare attacchi. Ci sono volute appena 30 ore dalla diffusione della notizia prima che gli attaccanti cominciassero a colpire.

La vulnerabilità, tracciata come CVE-2025-24813, consente a un utente malintenzionato di accedere a file di sicurezza e modificarli, oltre che eseguire codice da remoto.

A lanciare l’allarme è stata Wallarm, una compagnia di sicurezza statunitense che ha individuato subito gli attacchi, cominciati dopo la pubblicazione di una PoC su GitHub da parte dell’utente iSee857.

Stando a quando spiegato dall’azienda, l’attacco sfrutta il meccanismo di default per la persistenza della sessione del server per accedere a file sensibili e iniettare contenuto aggiuntivo. Nella prima fase, l’attaccante invia una richiesta PUT per caricare un file di sessione malevolo sul server. Il payload, una volta inviata la richiesta, si occupa di creare un file nella cartella del session storage di Tomcat. “Poiché Tomcat salva automaticamente i dati di sessione nei file, il payload malevolo viene salvato sul disco, in attesa di essere deserializzato“.

La deserializzazione viene eseguita tramite una richiesta GET dell’attaccante contenente il JSESSIONID della sessione malevola. Il server, riconoscendo l’ID di sessione, recupera il file, lo deserializza e provoca l’esecuzione del codice malevolo, concedendo completo accesso alla macchina all’attaccante.

“Questo attacco è semplicissimo da eseguire e non richiede alcuna autenticazione” spiegano i ricercatori di Wallarm. “L’unico requisito è che Tomcat utilizzi un session storage basato su file, cosa comune in molte implementazioni. Peggio ancora, la codifica base64 permette all’exploit di aggirare la maggior parte dei filtri di sicurezza tradizionali, rendendo difficile il rilevamento“.

L’attacco è particolarmente efficace anche perché le richieste inviate non contengono di per sé codice malevolo; inoltre, lo step effettivamente dannoso viene eseguito in un secondo momento, durante la deserializzazione.

Wallarm sottolinea però che il problema maggiore sta nel fatto che Tomcat non gestisce correttamente le richieste PUT, permettendo sostanzialmente di creare file ovunque. “Gli attaccanti cominceranno presto a modificare le loro tattiche, caricando file JSP malevoli, modificando le configurazioni e impiantando backdoor fuori dal session storage. Questa è solo la prima ondata“.

Il bug colpisce le versioni di Apache Tomcat dalla 11.0.0-M1 alla 11.0.2, dalla 10.1.0-M1 alla 10.1.34 e dalla 9.0.0-M1 alla 9.0.98. Il fix è stato pubblicato nella versione 11.0.3 del server. È fondamentale aggiornare il prima possibile la propria versione di Tomcat per proteggersi da questo attacco.

Condividi l'articolo