Une vulnérabilité sur Apache TOMCAT permettant d'exécuter du code arbitraire à distance

Date de publication :

L'équipe de développement d’Apache a publié un bulletin de sécurité corrigeant une vulnérabilité considérée importante par l'éditeur sur l'application serveur Tomcat. Un attaquant pourrait l’exploiter afin d’effectuer une exécution de code à distance sur les serveurs Apache Tomcat déployée sur Windows. Cette attaque serait assez complexe à mettre en œuvre et nécessite un niveau d'authentification faible. L'impact estimé sur la confidentialité et l'intégrité des données est important.

Apache Tomcat est un conteneur Web libre de JSP Java EE. Ce composant implémente les spécifications des servlets, une classe Java permettant de créer des données dynamiquement au sein d’un serveur web. La faille est présente dans la classe Java CGI Servlets : l’environnement d’exécution de Java (JRE) permet d’injecter des arguments en ligne de commande.

La vulnérabilité a été repérée par un chercheur en sécurité et reportée à l’équipe de sécurité d’Apache le 3 mars. Sa publication a été effectuée le 10 avril 2019.  

Détails techniques :

CVE-2019-0232 [CVSS V3 8.1] :  Lorsque le serveur Apache Tomcat déployé sur Windows active le paramètre "enableCmdLineArguments" dans la configuration de CGI Servlets une exécution de code à distance est possible sur les machines vulnérables. Aucune interaction avec un utilisateur ou escalade de privilège ne sont requis pour effectuer cette attaque.

Il est à noter que CGI Servlets est désactivé par défaut.  

Des correctifs ont été publiés par Apache et sont disponibles au téléchargement depuis le 12 avril pour les versions 7.x et 8.x. et 9.x. Du fait de la criticité de cette vulnérabilité, les utilisateurs sont invités à appliquer les mises à jour le plus rapidement possible.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire à distance.

Criticité

  • Score CVSS : 8.1

Existence d’un code d’exploitation de la vulnérabilité

  • Aucun code d’exploitation n’est disponible.

Composants & versions vulnérables

  • Apache Tomcat 9.0.0.M1 à 9.0.17 ;
  • Apache Tomcat 8.5.0 à 8.5.39 ;
  • Apache Tomcat 7.0.0 à 7.0.93.

CVE

  • CVE-2019-0232

Solutions ou recommandations

Mise en place de correctif de sécurité

  • Les mises à jour suivantes corrigent la vulnérabilité : 

    • Apache Tomcat 9.0.18 ou supérieur ;

    • Apache Tomcat 8.5.40 ou supérieur ;

    • Apache Tomcat 7.0.93 ou supérieur.

Solution de contournement

  • S’assurer que le parameter enableCmdLineAguments possède la valeur « false » dans la configuration de CGI Servlets.

Liens