Apache Tomcat Kritische Sicherheitslücke 30 Stunden nach Bekanntwerden ausgenutzt

Anbieter zum Thema

FTAPI Software GmbH

Behalten Apache-Tomcat-Nutzer bestimmte Standardeinstellungen oder haben einen Server falsch konfiguriert, können Cyberkriminelle Remote Code ausführen. Die Schwachstelle wurde bereits kurz nach Veröffentlichung eines PoC aktiv ausgenutzt.

Gerade einmal 30 Stunden, nachdem ein Proof-of-Concept (PoC) für eine kritische Schwachstelle in Apache Tomcat veröffentlicht wurde, nutzten Cyberkriminellen sie schon aktiv aus. Den ersten Angriff will der API- und Cloud-Security-Spezialist Wallarm am 12. März 2025 beobachtet haben, ein paar Tage, bevor der PoC auf Github von dem chinesischen User „iSee857“ veröffentlicht wurde. Dabei wurde die Sicherheitslücke CVE-2025-24813 (CVSS 9.8) ausgenutzt, die zum unbefugten Zugriff auf Dateien, ihrer Manipulation oder Remote Code Execution führen kann. Die Sicherheitslücke selbst wurde von der Apache Software Foundation am 10. März entdeckt und mit einem Fix behoben.

Angriffe auf Chromium laufen bereits!

Schwachstellen in Microsoft Edge ermöglichen Remote Code Execution

Kritische Schwachstelle in Apache Tomcat

Apache Tomcat ist ist eine Open-Source-Software, die dafür entwickelt wurde, dynamische Java-Webanwendungen auszuführen. Weil der Servlet-Container einfach zu konfigurieren und zu erweitern ist, ist er bei kleinen wie auch großen Unternehmen beliebt – und das macht ihn zum idealen Ziel für Cyberkriminelle, was auch deren schnelle Reaktion auf die Veröffentlichung des PoC erklärt.

Betroffen von CVE-2025-24813 sind diese Versionen:

• Apache Tomcat 9.0.0.M1 bis 9.0.98

• Apache Tomcat 10.1.0-M1 bis 10.1.34​

• Apache Tomcat 11.0.0-M1 bis 11.0.2​

Sie ist durch eine Fehlinterpretation von Dateipfaden entstanden. Ein Cyberangreifer kann diesen Fehler nutzen, um sensible Dateien einzusehen oder zu manipulieren oder bösartigen Code auszuführen. Doch für eine erfolgreiche Ausnutzung der Schwachstelle, müssen laut Apache alle folgenden Bedingungen erfüllt sein:

• Der Webserver erlaubt das Ändern von Dateien über das Standard-Servlet. Diese Funktion ist standardmäßig ausgeschaltet, ist sie jedoch aktiv, kann es gefährlich werden.

• Das teilweises Hochladen von Dateien (Partial PUT) ist aktiviert. Diese Funktion ist standardmäßig eingeschaltet.

• Die sensiblen Dateien wurden in einem Verzeichnis gespeichert, das sich innerhalb eines öffentlich zugänglichen Verzeichnisses befindet.

• Der Angreifer kennt die Namen der sensiblen Dateien, die hochgeladen werden.

• Die sensiblen Dateien werden mit der „Partial PUT“-Funktion hochgeladen.

Will ein Angreifer nicht nur Dateien manipulieren, sondern auch Schadcode ausführen, müssen folgende Bedingungen erfüllt sein:

• Der Webserver erlaubt das Ändern von Dateien über das Standard-Servlet. Diese Funktion ist standardmäßig ausgeschaltet, ist sie jedoch aktiv, kann es gefährlich werden.

• Das teilweises Hochladen von Dateien (Partial PUT) ist aktiviert. Diese Funktion ist standardmäßig eingeschaltet.

• Die Anwendung speichert Sitzungsdaten als Dateien in Tomcats Standardverzeichnis.

• Die Anwendung enthält eine unsichere Bibliothek, die für Angriffe durch fehlerhafte Datenverarbeitung (Deserialisierung) genutzt werden kann.

Zwar müssen alle Voraussetzungen erfüllt sein, damit ein Angreifer CVE-2025-24813 ausnutzen kann, doch oftmals behalten Nutzer die Standardeinstellungen, was oftmals riskant ist. Ist nur ein Server falsch konfiguriert und sind somit die Bedingungen erfüllt, haben Kriminelle ein leichtes Spiel. Denn die Ausnutzung der Sicherheitslücke erfordert keine Authentifizierung und kann remote durchgeführt werden. Nutzer von Apache Tomcat sollten deshalb schnellstmöglich eine der empfohlenen Versionen – 9.0.99, 10.1.35 oder 11.0.3​ – installieren.

Java-Webframework

Upload-Fehler wird zur kritischen Sicherheitslücke in Apache Struts

(ID:50360595)