Se ha identificado una vulnerabilidad crítica, con el identificador CVE-2025-24813, en la plataforma Apache Tomcat. Esta falla podría permitir a los atacantes realizar ejecuciones remotas de código (RCE), divulgar información confidencial o corromper datos. La Fundación de Software Apache ha emitido un aviso de seguridad urgente, instando a los usuarios de las versiones afectadas a actualizar su sistema inmediatamente.
Detalles técnicos de la vulnerabilidad
Aparte del riesgo de ejecución remota de código, esta vulnerabilidad también podría permitir el acceso no autorizado a datos sensibles o incluso la corrupción de información. La causa principal se encuentra en una debilidad en la gestión de solicitudes PUT parciales.
Según el aviso emitido por Apache, «la implementación original de PUT parcial utilizaba un archivo temporal basado en el nombre y la ruta de archivo proporcionados por el usuario, con el separador de ruta reemplazado por '.'». Este detalle, aparentemente insignificante, abre una brecha de seguridad significativa en ciertas circunstancias.
Riesgos específicos
Divulgación y corrupción de información: Si las escrituras están habilitadas para el servlet predeterminado (deshabilitadas por defecto), la compatibilidad con PUT parcial está activa (habilitada por defecto), la URL de destino para cargar archivos es un subdirectorio público y un atacante conoce los nombres de los archivos sensibles que se cargan mediante PUT parcial, puede ver archivos sensibles o inyectar contenido en ellos.
Ejecución remota de código (RCE): Si las escrituras están habilitadas para el servlet predeterminado, PUT parcial está activo, la aplicación utiliza la persistencia de sesión basada en archivos de Tomcat con el almacenamiento predeterminado y la aplicación incluye una biblioteca vulnerable a ataques de deserialización, un usuario malintencionado puede realizar una ejecución remota de código.
Versiones afectadas
La vulnerabilidad CVE-2025-24813 afecta a las siguientes versiones de Apache Tomcat:
- Apache Tomcat 11.0.0-M1 a 11.0.2 – Actualizar a 11.0.3
- Apache Tomcat 10.1.0-M1 a 10.1.34 – Actualizar a 10.0.35
- Apache Tomcat 9.0.0.M1 a 9.0.98 – Actualizar a 9.0.99
El hecho de que la función PUT parcial esté habilitada por defecto en las versiones afectadas aumenta aún más el riesgo. Muchos servidores de producción podrían ser vulnerables si no se aplican parches rápidamente.
Exploit activo
Esta vulnerabilidad está siendo explotada activamente luego del lanzamiento de una prueba de concepto (PoC) pública. Los administradores de servidores que ejecutan las versiones afectadas de Apache Tomcat deben tomar medidas inmediatas para mitigar esta vulnerabilidad. Actualizar a las versiones parcheadas es la forma más eficaz de protegerse contra posibles ataques.