Vulnerabilitățile Apache Tomcat permit ocolirea autentificării și atacuri DoS

Au fost identificate multiple vulnerabilități de securitate ce afectează serverele web Apache Tomcat, inclusiv două vulnerabilități cu grad de severitate high ce permite atacuri de tip denial-of-service (DoS) și o vulnerabilitate cu grad de severitate mediu ce permite ocolirea autentificării.

ceste vulnerabilități, identificate drept CVE-2025-48976, CVE-2025-48988, CVE-2025-49124 și CVE-2025-49125, afectează milioane de aplicații web care rulează pe versiunile Tomcat afectate, de la seria 9.0.x la 11.0.x.

• CVE-2025-48976: Memory Exhaustion via Multipart Header Exploitation

Vulnerabilitatea CVE-2025-48976 provine de la o limită fixă de alocare a memoriei în Apache Commons FileUpload, o componentă care face parte integrantă din procesarea cererilor multipart ale Tomcat.

Versiunile afectate includ Tomcat 9.0.0.M1-9.0.105, 10.1.0-M1-10.1.41 și 11.0.0-M1-11.0.7.

• CVE-2025-48988: Multipart Upload Resource Exhaustion

CVE-2025-48988 exploatează incapacitatea Tomcat de a diferenția parametrii cererii de elementele multipart atunci când aplică limitele de dimensiune.

Spre deosebire de parametrii standard, elementele multipart includ antete care persistă în memorie pe parcursul procesării cererii.

• CVE-2025-49124: Windows Installer Side-Loading Risk

CVE-2025-49124 vizează apelarea nesecurizată de către installerul Tomcat Windows a icacls.exe, un utilitar pentru modificarea listelor de control al accesului (ACL).

Prin omiterea căii complete către C:\Windows\System32\icacls.exe, programul de instalare devine vulnerabil la manipularea variabilei PATH.

Acest vector de escaladare a privilegiilor ar putea permite modificări neautorizate ale configurației serviciilor sau ale mecanismelor de persistență.

• CVE-2025-49125: Security Constraint Bypass in Resource Mounting

Vulnerabilitatea CVE-2025-49125 permite atacatorilor să ocolească măsurile de autentificare și autorizare pentru PreResources și PostResources configurate în afara aplicației web de tip root.

Apache Software Foundation a lansat patch-uri pentru toate versiunile afectate: Apache Tomcat 11.0.8, Apache Tomcat 10.1.42 și Apache Tomcat 9.0.106.

Aceste actualizări introduc limitări de configurare, inclusiv parametrii maxPartHeaderSize (implicit 512 bytes) și maxPartCount (implicit 10 părți) pe configurația Connector.

Sursă: https://cybersecuritynews.com/apache-tomcat-vulnerabilities/