Tomcat

Betroffen ist der Webserver und Servlet-Container Apache Tomcat. Ursache ist eine Pfad-Äquivalenz: Tomcat behandelt Dateinamen mit einem internen Punkt so, dass unterschiedliche Schreibweisen auf dieselbe Ressource verweisen. Ausgenutzt wird das über sogenannte partielle PUT-Anfragen an das Standard-Servlet, wenn dort Schreibzugriffe erlaubt sind. Je nach Konfiguration ergeben sich zwei Angriffsziele: Zum einen kann ein Angreifer sicherheitsrelevante hochgeladene Dateien einsehen oder eigene Inhalte in sie einschleusen – Voraussetzung ist, dass das Zielverzeichnis für solche Uploads unterhalb eines öffentlich beschreibbaren Verzeichnisses liegt und der Angreifer die Dateinamen kennt. Zum anderen ist die Ausführung beliebigen Programmcodes aus der Ferne möglich, wenn die Anwendung die dateibasierte Sitzungsspeicherung von Tomcat am Standardort nutzt und eine Bibliothek einbindet, die sich für einen Deserialisierungsangriff missbrauchen lässt. Schreibzugriffe des Standard-Servlets sind standardmäßig deaktiviert, die Unterstützung für partielle PUT-Anfragen hingegen standardmäßig aktiv.