أصبحت ثغرة أمنية حديثة في خادم Apache Tomcat، أحد أكثر خوادم الويب شيوعًا، تحت الاستغلال الفعلي في البرية بعد 30 ساعة فقط من نشر إثبات مفهوم الاستغلال (PoC) علنًا. الثغرة، المُسجلة تحت الرقم CVE-2025-24813، تؤثر على الإصدارات التالية من Apache Tomcat:
- Apache Tomcat 11.0.0-M1 إلى 11.0.2
- Apache Tomcat 10.1.0-M1 إلى 10.1.34
- Apache Tomcat 9.0.0-M1 إلى 9.0.98
تفاصيل الثغرة
تتعلق الثغرة بإمكانية تنفيذ أوامر عن بُعد أو الكشف عن معلومات حساسة عند توفر شروط محددة، وهي:
- تمكين الكتابة على الخادم الافتراضي (معطّل افتراضيًا).
- دعم طلبات PUT الجزئية (مُمكّن افتراضيًا).
- وجود عنوان URL لتحميل ملفات حساسة أمنيًا يكون ضمن دليل عام للتحميل.
- معرفة المهاجم لأسماء الملفات الحساسة التي يتم تحميلها.
- تحميل الملفات الحساسة عبر طلبات PUT الجزئية.
في حال استغلال الثغرة بنجاح، يمكن للمهاجم عرض ملفات حساسة أو حقن محتوى عشوائي فيها عبر طلبات PUT. بالإضافة إلى ذلك، يمكن تحقيق تنفيذ أوامر عن بُعد إذا توفرت الشروط التالية:
- تمكين الكتابة على الخادم الافتراضي.
- دعم طلبات PUT الجزئية.
- استخدام التطبيق لنظام تخزين الجلسات المعتمد على الملفات مع موقع التخزين الافتراضي.
- وجود مكتبة في التطبيق يمكن استغلالها في هجوم إعادة التفعيل (deserialization).
التحديثات والإصدارات الآمنة
أعلن القائمون على مشروع Apache Tomcat في بيان نشر الأسبوع الماضي أن الثغرة قد تم إصلاحها في الإصدارات التالية:
- Tomcat 9.0.99
- Tomcat 10.1.35
- Tomcat 11.0.3
استغلال الثغرة في البرية
في تطور مقلق، أفادت شركة Wallarm المتخصصة في الأمن السيبراني بأن الثغرة قد بدأت تُستغل فعليًا في البرية. وأوضحت الشركة أن الهجوم يعتمد على آلية تخزين الجلسات الافتراضية في Tomcat ودعمه لطلبات PUT الجزئية.
آلية الاستغلال:
- تحميل ملف جلسة Java مُسلسل عبر طلب PUT.
- تنفيذ الهجوم عبر طلب GET يحتوي على معرف الجلسة الخبيثة (JSESSIONID).
بمعنى آخر، يقوم المهاجمون بتحميل حمولة Java مُسلسلة ومشفرة بـ Base64 إلى دليل تخزين الجلسات في Tomcat، ثم تنفيذها لاحقًا عبر طلب GET يشير إلى الجلسة الخبيثة.
تحذيرات أمنية
أشارت Wallarm إلى أن استغلال هذه الثغرة سهل ولا يتطلب مصادقة، مع ضرورة استخدام Tomcat لنظام تخزين الجلسات المعتمد على الملفات. وأضافت: “على الرغم من أن هذا الاستغلال يعتمد على تخزين الجلسات، فإن المشكلة الأكبر تكمن في دعم Tomcat لطلبات PUT الجزئية، مما يسمح بتحميل أي ملف في أي مكان. من المتوقع أن يبدأ المهاجمون قريبًا في تحويل تكتيكاتهم لتحميل ملفات JSP خبيثة، تعديل الإعدادات، وزرع أبواب خلفية خارج نطاق تخزين الجلسات.”
توصيات للمستخدمين
ينصح المستخدمون الذين يعتمدون على الإصدارات المتأثرة من Apache Tomcat بتحديث خوادمهم إلى الإصدارات الآمنة المذكورة أعلاه في أسرع وقت ممكن لتجنب التهديدات المحتملة.
