Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-434

CVE-2017-12617

Apache Tomcat'te HTTP PUT yoluyla JSP yükleme ve uzaktan kod çalıştırma açığı

Apache Software Foundation Apache Tomcat

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
3312 gün
Kaydı açan
apache
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Mar 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Nis 2022.

ÖzetTürkçe

HTTP PUT istekleri etkinleştirilmiş Apache Tomcat sürümlerinde (9.0.0.M1 ila 9.0.0, 8.5.0 ila 8.5.22, 8.0.0.RC1 ila 8.0.46 ve 7.0.0 ila 7.0.81) özel hazırlanmış bir istekle sunucuya JSP dosyası yüklenebiliyordu. Örneğin Default servlet'in readonly başlatma parametresinin false olarak ayarlanmasıyla HTTP PUT istekleri etkinleştirilebilir. Yüklenen bu JSP dosyasına istek gönderildiğinde, içerdiği tüm kodlar sunucu tarafından çalıştırılıyordu.

Kaynaktaki açıklama (İngilizce)

When running Apache Tomcat versions 9.0.0.M1 to 9.0.0, 8.5.0 to 8.5.22, 8.0.0.RC1 to 8.0.46 and 7.0.0 to 7.0.81 with HTTP PUTs enabled (e.g. via setting the readonly initialisation parameter of the Default servlet to false) it was possible to upload a JSP file to the server via a specially crafted request. This JSP could then be requested and any code it contained would be executed by the server.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Apache Software Foundation Apache Tomcat ≥ 8.5.0, ≤ 8.5.22 –
≥ 8.0.0.RC1, ≤ 8.0.46 –
≥ 7.0.0, ≤ 7.0.81 –

Kaynaklar27 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.