CVE-2025-24813: Apache Tomcat Path Equivalence RCE

CVE-2025-24813 è una vulnerabilità di path equivalence in Apache Tomcat che sfrutta la manipolazione del percorso di file tramite il punto interno ('file.Name'). Quando il default servlet è configurato con write abilitate e il supporto per partial PUT è attivo (entrambi per default o per scelta di configurazione), un attacker può bypassare restrizioni di accesso ai file, leggere dati sensibili o iniettare codice maligno in file caricati. La vulnerabilità colpisce Tomcat versioni 9.0.0-M1 attraverso 9.0.98, 10.1.0-M1 attraverso 10.1.34, e 11.0.0-M1 attraverso 11.0.2.

La vulnerabilità ha un punteggio CVSS di 9,8, classificata come critical. Lo stato è confermato da National Vulnerability Database: la descrizione ufficiale specifica le condizioni necessarie per lo sfruttamento (write abilitate per default servlet, partial PUT abilitato, e per la RCE anche file-based session persistence). Nei segnali di comunicazione recente su social network, la vulnerabilità è menzionata come avente exploit pubblico, ma tale informazione non è verificata da fonti ufficiali.

I difensori devono aggiornare immediatamente a Tomcat 9.0.99, 10.1.35 o 11.0.3. Prima dell'aggiornamento, verificare la configurazione del default servlet: se write non sono abilitate (configurazione di default), il rischio di RCE è ridotto, ma information disclosure e modifica di file rimangono possibili se partial PUT è attivo e il default servlet serve caricamenti sensibili. Disabilitare write sul default servlet e/o disabilitare partial PUT sono mitigazioni interim, ma l'aggiornamento è necessario.

Versioni EOL di Tomcat 8.5.0 fino a 8.5.100 sono note come interessate pur se non più supportate. Il meccanismo dell'attacco sfrutta un'anomalia nella risoluzione dei percorsi che consente a un utente malintenzionato di circumnavigare le restrizioni di accesso ai file attraverso manipolazione del nome file. Questo tipo di vulnerabilità di path traversal è classico in ambienti con servizi web mal configurati.