- Aktif istismar
- CWE-44
- CWE-502
CVE-2025-24813
Apache Tomcat'te kısmi PUT ile uzaktan kod çalıştırma ve bilgi ifşası
- Yayımlandı
- Güncellendi
- 29 Eki 2025
- Açık yaşı
- 596 gün
- Kaydı açan
- apache
Yönetici özeti
Yaygın kullanılan Apache Tomcat uygulama sunucusunda, belirli yapılandırmalarda saldırganların sunucuyu uzaktan ele geçirmesine imkân tanıyan kritik bir açık bulunuyor ve bu açık aktif olarak istismar ediliyor. Etkilenen sistemlerin vakit kaybetmeden güncellenmesi gerekiyor; aksi halde veri sızıntısı ve hizmet kesintisi riski ortaya çıkar.
ÖzetTürkçe
Apache Tomcat'in yazma izni açılmış Default Servlet bileşeninde, dosya adındaki iç noktanın (path equivalence) kötüye kullanılması sonucu uzaktan kod çalıştırma, bilgi ifşası veya yüklenen dosyalara kötü amaçlı içerik eklenmesi mümkün olabilmektedir. Etkilenen sürümler 11.0.0-M1 ile 11.0.2, 10.1.0-M1 ile 10.1.34, 9.0.0.M1 ile 9.0.98 arasıdır; ayrıca ömrünü doldurmuş 8.5.0–8.5.100 ve 10.0.x (10.0.27'ye kadar) sürümleri de etkilenmektedir. Kod çalıştırma için Default Servlet'te yazma izninin açık olması (varsayılan olarak kapalıdır), kısmi PUT desteğinin bulunması (varsayılan olarak açıktır), uygulamanın dosya tabanlı oturum kalıcılığını varsayılan konumla kullanması ve deserialization saldırısında kullanılabilecek bir kütüphanenin bulunması gerekir. Bu zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesindedir.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırıcı, sunucuda uzaktan kod çalıştırabilir veya hassas dosyaları okuyup bu dosyalara içerik enjekte edebilir. Başarılı istismar sunucunun tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Path Equivalence: 'file.Name' (Internal Dot) leading to Remote Code Execution and/or Information disclosure and/or malicious content added to uploaded files via write enabled Default Servlet in Apache Tomcat.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.2, from 10.1.0-M1 through 10.1.34, from 9.0.0.M1 through 9.0.98.
The following versions were EOL at the time the CVE was created but are
known to be affected: 8.5.0 though 8.5.100. Other, older, EOL versions
may also be affected.
If all of the following were true, a malicious user was able to view security sensitive files and/or inject content into those files:
- writes enabled for the default servlet (disabled by default)
- support for partial PUT (enabled by default)
- a target URL for security sensitive uploads that was a sub-directory of a target URL for public uploads
- attacker knowledge of the names of security sensitive files being uploaded
- the security sensitive files also being uploaded via partial PUT
If all of the following were true, a malicious user was able to perform remote code execution:
- writes enabled for the default servlet (disabled by default)
- support for partial PUT (enabled by default)
- application was using Tomcat's file based session persistence with the default storage location
- application included a library that may be leveraged in a deserialization attack
Users are recommended to upgrade to version 11.0.3, 10.1.35 or 9.0.99, which fixes the issue.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Tomcat'i düzeltilmiş sürüme yükseltin: 11.0.x için 11.0.3, 10.1.x için 10.1.35, 9.0.x için 9.0.99 veya daha yeni bir sürüm. Genel öneri
- Ömrünü doldurmuş 8.5.x ve 10.0.x sürümlerini kullanıyorsanız desteklenen ve düzeltilmiş bir sürüme geçin; bu sürümler için düzeltme verilmemiştir. Genel öneri
- Yükseltme yapılana kadar Default Servlet için yazma iznini kapalı tutun ve gerekmiyorsa kısmi PUT desteğini devre dışı bırakın. Genel öneri
- Üretici talimatlarına göre azaltım önlemlerini uygulayın; azaltım mümkün değilse ürünün kullanımını durdurun. CISA
Ek önlemler
- Dışarıdan erişilebilen Tomcat sunucularında PUT isteklerini ağ geçidi veya WAF seviyesinde kısıtlayın. Genel öneri
- Dosya tabanlı oturum kalıcılığını kullanıyorsanız oturum depolama dizinine erişimi sınırlayın ve uygulamadaki gereksiz kütüphaneleri kaldırın. Genel öneri
- Web dizinlerinde beklenmeyen dosya oluşumlarını ve olağandışı PUT isteklerini günlüklerden izleyin. Genel öneri
- Sunucunun ele geçirilmiş olabileceği şüphesi varsa sistemi inceleyin ve gerekli kimlik bilgilerini yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Tomcat | ≥ 11.0.0-M1, ≤ 11.0.2 | – |
| ≥ 10.1.0-M1, ≤ 10.1.34 | – | |
| ≥ 9.0.0.M1, ≤ 9.0.98 | – | |
| ≥ 8.5.0, ≤ 8.5.100 | – | |
| ≥ 3, < 8.5.0 Bilinmiyor | – | |
| ≥ 10.0.0-M1, ≤ 10.0.27 Bilinmiyor | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.