Apache Tomcat là một máy chủ web mã nguồn mở và bộ chứa servlet được sử dụng rộng rãi để triển khai và chạy các ứng dụng web dựa trên Java. Nó cung cấp môi trường thời gian chạy cho các công nghệ Java Servlet, JavaServer Pages (JSP) và Java WebSocket.
Sản phẩm này phổ biến với các doanh nghiệp lớn chạy ứng dụng web tùy chỉnh, nhà cung cấp SaaS dựa vào Java cho các dịch vụ phụ trợ. Các dịch vụ lưu trữ và đám mây tích hợp Tomcat để lưu trữ ứng dụng và các nhà phát triển phần mềm sử dụng nó để xây dựng, thử nghiệm và triển khai các ứng dụng web.
Lỗ hổng được khắc phục trong bản phát hành mới có định danh là CVE-2024-56337 và giải quyết vấn đề giảm thiểu chưa hoàn chỉnh đối với CVE-2024-50379, một lỗi thực thi mã từ xa (RCE) nghiêm trọng mà nhà cung cấp đã phát hành bản vá vào ngày 17/12.
Sau khi phát hành bản cập nhật sửa lỗi CVE-2024-50379, nhóm Apache đã biết rằng biện pháp giảm thiểu chưa hoàn thiện đối với các máy khách chạy máy ảo với các phiên bản Java cũ hơn.
Cả hai mã định danh CVE đều đề cập đến cùng một lỗ hổng nhưng với CVE-2024-56337, Apache cung cấp thêm các chi tiết giảm thiểu để giải quyết hoàn toàn lỗ hổng ban đầu, nhấn mạnh rằng quản trị viên phải thực hiện một số thay đổi theo cách thủ công.
Do đó, khuyến nghị ban đầu là nâng cấp lên phiên bản Tomcat mới nhất (hiện tại là 11.0.2, 10.1.34 và 9.0.98) là không đủ để giải quyết rủi ro. Tùy thuộc vào phiên bản Java đang sử dụng, bên cạnh việc nâng cấp, người dùng cần thực hiện:
- Đối với Java 8 hoặc 11, bạn nên đặt thuộc tính hệ thống 'sun.io.useCanonCaches' thành 'false' (mặc định: true).
- Đối với Java 17, hãy đảm bảo 'sun.io.useCanonCaches', nếu được đặt, được định cấu hình thành false (mặc định: false).
- Đối với Java 21 trở lên, không cần cấu hình. Thuộc tính và bộ nhớ đệm có vấn đề đã bị xóa.
Vấn đề bảo mật là lỗ hổng bảo mật về tình trạng chạy đua thời gian kiểm tra thời gian sử dụng (TOCTOU) ảnh hưởng đến các hệ thống có bật chức năng ghi servlet mặc định (tham số khởi tạo “chỉ đọc” được đặt thành false) và chạy trên hệ thống tệp không phân biệt chữ hoa chữ thường.
Sự cố này ảnh hưởng đến Apache Tomcat 11.0.0-M1 đến 11.0.1, 10.1.0-M1 đến 10.1.33 và 9.0.0.M1 đến 9.0.97.
Nhóm Apache đã chia sẻ kế hoạch cải tiến bảo mật trong các phiên bản sắp tới của Tomcat, 11.0.3, 10.1.35 và 9.0.99.
Cụ thể, Tomcat sẽ kiểm tra xem 'sun.io.useCanonCaches' đã được thiết lập chính xác chưa trước khi kích hoạt quyền ghi cho servlet mặc định trên các hệ thống tệp không phân biệt chữ hoa chữ thường và sẽ mặc định 'sun.io.useCanonCaches' thành false khi có thể.
Những thay đổi này nhằm mục đích tự động áp dụng các cấu hình an toàn hơn và giảm nguy cơ khai thác CVE-2024-50379 và CVE-2024-56337.
Hà Phương
12:00 | 14/01/2025
12:00 | 23/12/2024
10:00 | 17/02/2025
14:00 | 11/09/2024
14:00 | 04/03/2025
08:00 | 21/02/2025
09:00 | 11/10/2024
09:00 | 24/02/2025
11:00 | 11/03/2025
Elastic đã phát hành bản vá cho một lỗ hổng bảo mật nghiêm trọng có thể dẫn đến thực thi mã tùy ý, ảnh hưởng đến phần mềm bảng điều khiển trực quan hóa dữ liệu Kibana của Elasticsearch - công cụ tìm kiếm và phân tích dữ liệu mã nguồn mở phổ biến.
15:00 | 06/03/2025
Juniper Networks đã phát hành bản vá cho một lỗ hổng nghiêm trọng vượt qua xác thực trong các sản phẩm Session Smart Router, Session Smart Conductor và WAN Assurance Managed Router.
09:00 | 27/02/2025
Chatbot AI DeepSeek của Trung Quốc đã làm đảo lộn ngành công nghiệp toàn cầu và xóa sổ hàng tỷ đô la khỏi các cổ phiếu công nghệ của Hoa Kỳ khi công bố chương trình phiên bản R1, được cho là được xây dựng trên các chất bán dẫn Nvidia giá rẻ và kém tinh vi hơn. Nhưng các chính phủ từ Rome đến Seoul đều có biện pháp cứng rắn với ứng dụng này của Trung Quốc, với lý do họ cần ngăn chặn nguy cơ rò rỉ thông tin nhạy cảm thông qua các dịch vụ AI tạo ra.
10:00 | 24/12/2024
Nguồn tin của Wall Street Journal cho biết, chính quyền của Tổng thống đắc cử Donald Trump có thể ban hành lệnh cấm bán thiết bị TP-Link tại Mỹ ngay trong năm 2025.
22:00 | 30/01/2025|Giải pháp khác
08:00 | 29/01/2025|Công nghệ thông tin
Ngày 07/3/2025, Google đã công bố sẽ trao 11,8 triệu USD tiền thưởng cho 660 nhà nghiên cứu đã báo cáo lỗ hổng bảo mật thông qua các chương trình Bug Bounty của công ty vào năm 2024.
14:00 | 19/03/2025
