KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2024-50379 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Apache Tomcat是由Apache软件基金会下属的Jakarta项目开发的Servlet容器。2024年12月，官方披露 CVE-2024-50379 Apache Tomcat 条件竞争文件上传漏洞。
由于 Apache Tomcat 在路径校验逻辑中存在缺陷，当在不区分大小写的系统（如Windows）上启用了default servlet 的写入功能（默认关闭）时，攻击者可构造恶意请求绕过路径一致性检查，从而可能上传webshell并造成远程代码执行。漏洞利用需要条件竞争，对网络以及机器性能环境等有一定要求。
影响范围
11.0.0-M1 <= Apache Tomcat < 11.0.2
10.1.0-M1 <= Apache Tomcat < 10.1.34
9.0.0.M1 <= Apache Tomcat < 9.0.98
安全版本
Apache Tomcat 11.0.2
Apache Tomcat 10.1.34
Apache Tomcat 9.0.98
影响范围
应用：apache tomcat（影响面 Up to (excluding) 10.1.34）
应用：apache tomcat（影响面 Up to (excluding) 11.0.2）
应用：apache tomcat（影响面 Up to (excluding) 9.0.98）
系统：netapp bootstrap_os（版本 -）
硬件：netapp hci_compute_node（版本 -）
解决方案
1、建议升级至安全版本及其之后。
2、若无必要建议关闭 Default Servlet 的写入功能（设置readonly为 true）。
3、云安全中心支持针对 Apache Tomcat default servlet PUT 开启风险 进行检测。
参考信息
http://www.openwall.com/lists/oss-security/2024/12/17/4
http://www.openwall.com/lists/oss-security/2024/12/18/2
https://access.redhat.com/security/cve/CVE-2024-50379
https://avd.aliyun.com/detail/AVD-2024-1770267
https://lists.apache.org/thread/y6lj6q1xnp822g6ro70tn19sgtjmr80r
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。