Уязвимость состояния гонки Time-of-check Time-of-use (TOCTOU) во время компиляции JSP в Apache Tomcat позволяет выполнить произвольный код …

Уязвимость состояния гонки Time-of-check Time-of-use (TOCTOU) во время компиляции JSP в Apache Tomcat позволяет выполнить произвольный код (RCE) на файловых системах без учета регистра, когда сервлет по умолчанию включен для записи (нестандартная конфигурация). Эта проблема затрагивает Apache Tomcat: с 11.0.0-M1 по 11.0.1, с 10.1.0-M1 по 10.1.33, с 9.0.0.M1 по 9.0.97. Следующие версии были признаны устаревшими на момент создания CVE, но известно, что они также затронуты: с 8.5.0 по 8.5.100. Другие старые версии, которые были признаны устаревшими, также могут быть затронуты. Пользователям рекомендуется обновиться до версии 11.0.2, 10.1.34 или 9.0.98, что устраняет проблему [1]. Источники: - [1] https://lists.apache.org/thread/y6lj6q1xnp822g6ro70tn19sgtjmr80r