Vulnérabilité critique d'exécution de code à distance affectant Apache Tomcat
Une vulnérabilité critique d'exécution de code à distance (RCE) a été identifiée dans le serveur d'applications Java Apache Tomcat. Elle permettrait à un tiers distant non authentifié de téléverser des fichiers arbitraires et de prendre le contrôle du serveur applicatif.
Description
Contexte technique et détails de la vulnérabilité
Apache Tomcat constitue le serveur d'applications web d'entreprise de référence pour le déploiement d'environnements Java sous technologies Servlets et Jakarta.
Ces produits sont affectés par les vulnérabilités libellées comme suit :
CVE-2025-24813 : vulnérabilité relative à la manipulation non sécurisée de la méthode HTTP PUT lorsque le composant DefaultServlet est activé en écriture. Un attaquant peut transférer un web-shell et exécuter des commandes arbitraires sur le système sous-jacent. Elle est classée critique avec un score de sévérité de 9.1 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code à distance (RCE) avec les privilèges du processus serveur ;
- Compromission complète des données et des applications métier hébergées ;
- Déploiement de portes dérobées persistantes sur l'infrastructure d'hébergement ;
- Atteinte critique à la confidentialité, l'intégrité et la disponibilité.
Systèmes affectés
Produits, composants et versions concernés
- Apache Tomcat 11.0.0 à 11.0.2 ;
- Apache Tomcat 10.1.0 à 10.1.34 ;
- Apache Tomcat 9.0.0 à 9.0.98.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Apache Tomcat vers les versions 11.0.3, 10.1.35 ou 9.0.99 ou supérieures ;
- Vérifier impérativement que la directive readonly est définie à true au niveau de la configuration du DefaultServlet ;
- Protéger le serveur par un WAF bloquant les méthodes HTTP non conformes.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.