Nivel de peligrosidad: ALTO
Se ha hecho pública una vulnerabilidad de criticidad alta, del tipo RCE (ejecución remota de código), en el servidor web Apache Tomcat.
CVE-2020-9484: A través de una respuesta específicamente diseñada, un atacante podría realizar una ejecución remota de código mediante la deserialización de un archivo bajo su control. Hay que tener en cuenta que para que un ataque sea exitoso se deben cumplir completamente la siguiente serie de condiciones:
- El atacante puede controlar el contenido y el nombre de un archivo en el servidor.
- El servidor está configurado para usar PersistenceManager con un FileStore.
- PersistenceManager está configurado como sessionAttributeValueClassNameFilter="null".
- El atacante conoce la ruta relativa del archivo desde la ubicación de almacenamiento utilizado por FileStore para el archivo sobre el que tiene control.
La base de datos del NIST por el momento no ha otorgado al CVE-2020-9484 la correspondiente criticidad según la escala CVSSv3. No obstante, los investigadores que han reportado la vulnerabilidad la califican con una severidad alta ya que es explotable de forma remota. Hasta la fecha, tampoco se ha detectado actividad dañina en la red relacionada, ni la disponibilidad de algún exploit que aproveche el fallo.
Recursos afectados:
- Apache Tomcat versiones 10.0.0-M1 a la 10.0.0-M4
- Apache Tomcat versiones 9.0.0.M1 a la 9.0.34
- Apache Tomcat versiones 8.5.0 a la 8.5.54
- Apache Tomcat versiones 7.0.0 a la 7.0.103
Solución a la vulnerabilidad:
- Actualizar a Apache Tomcat 10.0.0-M5 o posterior
- Actualizar a Apache Tomcat 9.0.35 o posterior
- Actualizar a Apache Tomcat 8.5.55 o posterior
- Actualizar a Apache Tomcat 7.0.104 o posterior
Recomendaciones:
El CERT de Entelgy Innotec Security recomienda encarecidamente a los usuarios y administradores de sistemas que apliquen los parches de seguridad en cuanto se encuentren disponibles, con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.
Como medida de mitigación alternativa en caso de no poder aplicar las actualizaciones descritas, se recomienda configurar el PersistenceManager con un valor apropiado para sessionAttributeValueClassNameFilter, garantizando así que solo los atributos proporcionados por la aplicación se serializan y deserializan.
