Tomcat

Die Schwachstelle betrifft die Webserver-Software Apache Tomcat, die Java-Webanwendungen ausliefert, beim Betrieb unter Windows. Voraussetzung ist, dass die Verarbeitung von HTTP-PUT-Anfragen aktiviert ist – also das Hochladen von Dateien auf den Server erlaubt wurde. Unter dieser Bedingung kann ein Angreifer über eine besonders präparierte Anfrage eine JSP-Datei auf den Server hochladen. JSP-Dateien enthalten Programmcode, den der Server bei einem Aufruf selbst ausführt. Ruft der Angreifer anschließend die zuvor hochgeladene Datei ab, führt Tomcat den darin enthaltenen Code aus. Auf diese Weise kann beliebiger, vom Angreifer mitgebrachter Code direkt auf dem Server laufen, was einer Fernausführung von Schadcode gleichkommt. Betroffen sind Tomcat-Installationen unter Windows, bei denen das Schreiben per PUT aktiviert ist; in der Standardkonfiguration ist diese Schreibmöglichkeit normalerweise deaktiviert.