El 10 de marzo de 2025, se divulgó una grave vulnerabilidad en ciertas versiones del servidor web Tomcat , desarrollado por la Apache Software Foundation.
Esta vulnerabilidad fue nombrada CVE-2025-24813 y las versiones de Tomcat afectadas son:
- 9.x, desde la versión 9.0.0-M1 hasta la 9.0.98
- 10.x, desde la versión 10.1.0-M1 hasta la 10.1.34
- 11.x, desde la versión 11.0.0-M1 hasta la 11.0.2
Twproject, cuando se instala mediante el archivo ejecutable descargable desde el sitio, utiliza Apache Tomcat en su versión 9.0.46, por lo que está potencialmente afectado por el problema.
CONTENIDO
¿Qué es la vulnerabilidad CVE-2025-24813?
Esta vulnerabilidad consiste en una ejecución remota de código (RCE) combinada con una divulgación de información.
Esto significa que un posible atacante podría ejecutar código arbitrario y, por lo tanto, acceder ilegalmente al sistema afectado.
Como se indica en la página de la vulnerabilidad, esta vulnerabilidad solo es peligrosa y explotable para un ataque si se cumplen cinco condiciones diferentes.
La más importante de estas condiciones es que el DefaultServlet de Tomcat debe indicar ‘escritura habilitada para el servlet predeterminado (deshabilitada de forma predeterminada)’: en otras palabras, la escritura para el servlet debe estar explícitamente habilitada, ya que está deshabilitada de forma predeterminada.
El instalador estándar de Twproject también está deshabilitado de forma predeterminada, por lo que no hay peligro en este caso.
Lo que los usuarios de Twproject deben saber
Como hemos visto, para quienes instalaron Twproject sin aplicar ningún cambio a los archivos de configuración, no hay peligro.
La situación es diferente para quienes instalaron Twproject utilizando su propio Apache Tomcat en una de las versiones afectadas por la vulnerabilidad.
Para asegurarte de no haber expuesto tu servidor a un ataque, es buena práctica seguir los pasos a continuación.
1. Ubica el archivo
El DefaultServlet se implementa en la clase org.apache.catalina.servlets.DefaultServlet y se utiliza para servir archivos estáticos o proporcionar listados de directorios.
La gestión de sus propiedades se delega al archivo web.xml, ubicado en la carpeta conf de Tomcat (donde se encuentran todos los archivos de configuración).
2. Verifica la configuración
La configuración predeterminada del DefaultServlet es la siguiente:
<servlet>
<servlet-name>default</servlet-name>
<servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
<init-param>
<param-name>debug</param-name>
<param-value>0</param-value>
</init-param>
<init-param>
<param-name>listings</param-name>
<param-value>false</param-value>
</init-param>
<load-on-startup>1</load-on-startup>
</servlet>
El parámetro que habilita la capacidad de escritura en el servidor es ‘readonly’ con el valor ‘false’.
Por lo tanto, una configuración que expone el servidor a ataques maliciosos debería ser la siguiente:
<init-param>
<param-name>readonly</param-name>
<param-value>false</param-value>
</init-param>
3. Intervén si es necesario
Por lo tanto, si el parámetro se ha especificado y su valor es ‘false’, es esencial establecerlo en ‘true’ para desactivar la escritura del DefaultServlet.
Alternativamente, es posible actualizar Apache Tomcat a una versión diferente de las enumeradas anteriormente.
Sin embargo, si el parámetro no está presente en el archivo, no hay problema: ¡se aplica el valor predeterminado!
Tenga en cuenta: puede haber más de un archivo web.xml, dependiendo de la arquitectura del servidor, por lo que es recomendable verificarlos todos.
Observaciones finales
Esperamos haber proporcionado toda la información necesaria para tranquilizar a nuestros usuarios e instruirlos adecuadamente en caso de que sea necesario tomar medidas.
Si necesita más soporte, no dude en contactarnos a través de nuestros canales.
Para obtener más información sobre este tema:
https://tomcat.apache.org/security-9.html
