【漏洞通报】Apache Tomcat远程代码执行漏洞(CVE-2024-50379)

时间：2024-12-20???浏览：16???作者：刘俊杰

一、漏洞描述

Apache Tomcat是美国阿帕奇（Apache）软件基金会的一款轻量级Web应用服务器。该程序实现了对Servlet和JavaServer Page（JSP）的支持。

Apache Tomcat中存在远程代码执行漏洞，该漏洞是由于web.xml中开启readonly为false的配置，攻击者可利用该漏洞以条件竞争进行文件上传导致命令执行。

漏洞威胁等级：高危

Apache Tomcat 11.0.0-M1 to 11.0.1

Apache Tomcat 10.1.0-M1 to 10.1.33

Apache Tomcat 9.0.0.M1 to 9.0.97

1、根据业务需求评估，将 conf/web.xml文件中的 readonly 参数设置为 true 或注释该参数，禁用 PUT 方法并重启 Tomcat 服务以使配置生效，从而临时规避该安全风险。

2、建议升级至安全版本及其之后。