Java Servlet, JavaServer Pages, Java Expression Language ve Java WebSocket teknolojilerinin açık kaynaklı bir sürümü Apache Tomcat olarak bilinir. Bu uygulama, Apache Software Foundation tarafından oluşturulmuştur. Yazılımın çekirdeğinde keşfedilen herhangi bir güvenlik açığı, çok yaygın olarak kullanıldığından, yazılımın büyük kullanıcı tabanı için önemli bir tehlike oluşturur. CVE-2023-34981, Apache Tomcat’te yeni keşfedilen bir bilgi sızıntısı güvenlik açığının kimlik numarasıdır. Hidenobu Hayashi ve M3, Inc.’den Yuichiro Fukubayashi tarafından keşfedilen bu güvenlik açığı, önemli bir riski temsil ediyor ve sonuç olarak “Önemli” önem derecesine sahip.
Aşağıdaki Apache Tomcat sürümleri, CVE-2023-34981 güvenlik açığına açıktır:
- Apache Tomcat sürüm 11.0.0.M5
- Apache Tomcat sürüm 10.1.8
- Apache Tomcat sürüm 9.0.74
- Apache Tomcat sürüm 8.5.88
Peki, CVE-2023-34981 istismarı tam olarak nasıl çalışıyor? Söz konusu yanıtta tanımlanmış herhangi bir HTTP başlığı yoksa AJP SEND_HEADERS mesajı gönderilmeyecektir. Mevcut isteğin işlenmesinde mod_proxy_ajp gibi AJP tabanlı proxy’ler tarafından önceki istekteki yanıt başlıklarının kullanılması bu davranışın sonucudur. Sonuç nedir? Kamuya açıklanması amaçlanmayan bir bilgi sızıntısı, bir işletmeyi yasa dışı kullanıma karşı savunmasız bırakabilir.
Zor bir durum olarak kategorize edilmiştir. Sonuç olarak, Response Header Handler bileşeninin bir veya iki özelliği bozulabilir. Bilinmeyen bir girdiyle yapılan manipülasyon, gizli bilgileri açığa çıkaran bir güvenlik açığıyla sonuçlanır. Sorun, CWE tarafından CWE-200 olarak anılıyor. Ürün, hassas bilgilere, bu bilgilere erişmesi için açıkça yetkilendirilmemiş bir üçüncü tarafa erişim sağlar. Bu, bilgilerin gizliliği üzerinde bir etkiye sahip olacaktır. CVE özetler.
Kötü haber şu ki güvenlik açığı önemli; ancak iyi haber şu ki, Apache Software Foundation, Tomcat’in güçlendirilmiş ve daha güvenli güncellenmiş sürümlerini yayınlayarak bu sorunu çözmek için hızla harekete geçti. Yükseltme, yazılımın etkilenen sürümlerinin kullanıcıları tarafından izlenmesi gereken basit bir tavsiyedir.
Şu anda risk altyapısı uzmanı ve araştırmacı olarak çalışan bilgi güvenliği uzmanı.
Risk ve kontrol süreci, güvenlik denetimi desteği, iş sürekliliği tasarımı ve desteği, çalışma grubu yönetimi ve bilgi güvenliği standartları konularında 15 yıllık deneyim.