EXPLOIT PÚBLICOEXPLOTADA ACTIVAMENTE

CVE-2017-12615 Ejecución remota de código en Apache Tomcat

Con Apache Tomcat 7.0.0 a 7.0.79 en Windows y HTTP PUT habilitado, era posible subir un archivo JSP mediante una solicitud especialmente diseñada y luego ejecutar el código que contuviera. Afecta a Tomcat 7.0.0 hasta 7.0.79 en Windows.

Alerta de Nureq Monitor

Detectada 10 OCT · 04:38

CVSS 3.1

8.1ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

99,6 % PERCENTIL 100

EXPLOTACIÓN ACTIVA

Sí DESDE 25/03/2022

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2017-12615

EXPLOTADA ACTIVAMENTELa agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 25 de marzo de 2022 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección para organismos federales hasta el 15 de abril de 2022. Se usó en campañas de ransomware. Corregirla es prioritario.

Productos y versiones afectadas

Apache Software Foundation Apache Tomcat
- 7.0.0 to 7.0.79

Qué hacer

Verificá si usás Apache Tomcat y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Priorizá la corrección: ya se usa en ataques reales, así que el riesgo de ataque es alto.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

nouhaila2030/apache-tomcat-security-audit Penetration test of Apache Tomcat — Ghostcat, CVE-2017-12615 and Struts2/OGNL exploitation with MITRE ATT&CK mappingPUBLICADO 10 OCT · 04:38

Calculadora CVSS

CVSS 3.1 · 8.1 ALTA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Alta
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Alta
INTEGRIDAD (I): Alta
DISPONIBILIDAD (A): Alta

Abrir la calculadora completa

Descripción original

When running Apache Tomcat 7.0.0 to 7.0.79 on Windows with HTTP PUTs enabled (e.g. via setting the readonly initialisation parameter of the Default to false) it was possible to upload a JSP file to the server via a specially crafted request. This JSP could then be requested and any code it contained would be executed by the server.

Referencias

access.redhat.com/errata/RHSA-2017:3113VENDOR-ADVISORY · X_REFSOURCE_REDHAT
access.redhat.com/errata/RHSA-2017:3080VENDOR-ADVISORY · X_REFSOURCE_REDHAT
www.securitytracker.com/id/1039392VDB-ENTRY · X_REFSOURCE_SECTRACK
lists.apache.org/thread.html/8fcb1e2d5895413abcf266f011b9918ae03e0b7daceb118ffbf23f8c%40%…MAILING-LIST · X_REFSOURCE_MLIST
www.synology.com/support/security/Synology_SA_17_54_TomcatX_REFSOURCE_CONFIRM
access.redhat.com/errata/RHSA-2018:0465VENDOR-ADVISORY · X_REFSOURCE_REDHAT
breaktoprotect.blogspot.com/2017/09/the-case-of-cve-2017-12615-tomcat-7-put.htmlX_REFSOURCE_MISC
access.redhat.com/errata/RHSA-2017:3114VENDOR-ADVISORY · X_REFSOURCE_REDHAT
www.securityfocus.com/bid/100901VDB-ENTRY · X_REFSOURCE_BID
access.redhat.com/errata/RHSA-2018:0466VENDOR-ADVISORY · X_REFSOURCE_REDHAT
www.exploit-db.com/exploits/42953/EXPLOIT · X_REFSOURCE_EXPLOIT-DB
security.netapp.com/advisory/ntap-20171018-0001/X_REFSOURCE_CONFIRM
github.com/breaktoprotect/CVE-2017-12615X_REFSOURCE_MISC
access.redhat.com/errata/RHSA-2017:3081VENDOR-ADVISORY · X_REFSOURCE_REDHAT
lists.apache.org/thread.html/388a323769f1dff84c9ec905455aa73fbcb20338e3c7eb131457f708%40%…MAILING-LIST · X_REFSOURCE_MLIST
lists.apache.org/thread.html/845312a10aabbe2c499fca94003881d2c79fc993d85f34c1f5c77424%40%…MAILING-LIST · X_REFSOURCE_MLIST
lists.apache.org/thread.html/3d19773b4cf0377db62d1e9328bf9160bf1819f04f988315086931d7%40%…MAILING-LIST · X_REFSOURCE_MLIST
lists.apache.org/thread.html/r6d03e45b81eab03580cf7f8bb51cb3e9a1b10a2cc0c6a2d3cc92ed0c%40…MAILING-LIST · X_REFSOURCE_MLIST
lists.apache.org/thread.html/r9136ff5b13e4f1941360b5a309efee2c114a14855578c3a2cbe5d19c%40…MAILING-LIST · X_REFSOURCE_MLIST
www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-12615GOVERNMENT-RESOURCE

Historial de la alerta

10 OCT · 04:38EXPLOIT PÚBLICO Se publicó el repositorio nouhaila2030/apache-tomcat-security-audit.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.