Uma vulnerabilidade crítica de execução remota de código (RCE) no Apache Tomcat, identificada como CVE-2025-24813, está sendo explorada ativamente por cibercriminosos. Essa falha permite que invasores assumam o controle de servidores comprometidos por meio de uma simples solicitação PUT, sem necessidade de autenticação.
Nova falha RCE no Apache Tomcat permite ataques sem autenticação
De acordo com pesquisadores da Wallarm, cibercriminosos estão utilizando exploits de prova de conceito (PoC) divulgados no GitHub apenas 30 horas após a revelação da vulnerabilidade. O ataque se aproveita de solicitações PUT aparentemente inofensivas, mas que contêm código malicioso ocultado em base64, tornando a detecção pelas ferramentas tradicionais de segurança extremamente difícil.
O método explorado pelos atacantes consiste em:
- Enviar uma solicitação PUT com uma carga Java serializada e codificada em base64 para o armazenamento de sessão do Tomcat.
- Posteriormente, enviar uma solicitação GET com um cookie JSESSIONID apontando para o arquivo carregado.
- Isso leva o Tomcat a desserializar e executar o código malicioso, concedendo controle total ao invasor.
Esse ataque é possível devido à aceitação de solicitações PUT parciais e à configuração padrão de persistência de sessão do Tomcat.
Versões afetadas e recomendações
O Apache Tomcat confirmou que a vulnerabilidade afeta as seguintes versões:
- 11.0.0-M1 até 11.0.2
- 10.1.0-M1 até 10.1.34
- 9.0.0.M1 até 9.0.98
Para mitigar o problema, é recomendável que os usuários atualizem imediatamente para as versões corrigidas:
Notícias Relacionadas
Segurança digital
Hackers invadem WordPress via falha no OttoKit
Falha no plugin OttoKit permite criação de contas de administrador sem autenticação e já está sendo explorada por hackers. Atualização urgente é recomendada.
Falha crítica
Fortinet corrige falha grave que permite alteração não autorizada de senha no FortiSwitch
Falha crítica no FortiSwitch permite alteração de senhas de administrador sem autenticação. Fortinet lança atualizações e recomenda medidas de proteção imediatas.
- 11.0.3+
- 10.1.35+
- 9.0.99+
Além disso, outras medidas de segurança podem ser implementadas para reduzir os riscos:
- Reverter para a configuração padrão do servlet (readonly=”true”).
- Desativar o suporte a solicitações PUT parciais.
- Evitar armazenar arquivos sensíveis à segurança em subdiretórios de caminhos de upload públicos.
Previsão de novos ataques
A Wallarm alerta que, além da exploração atual, os atacantes podem desenvolver novos métodos para explorar a falha, como:
- Carregamento de arquivos JSP maliciosos.
- Modificação de configurações do servidor.
- Instalação de backdoors fora do armazenamento de sessão.
Com isso, especialistas recomendam monitoramento constante e aplicação imediata das atualizações para evitar comprometimentos.
Conclusão
A falha CVE-2025-24813 representa uma ameaça séria para servidores que utilizam o Apache Tomcat. A rapidez com que os exploits foram divulgados e estão sendo usados por atacantes demonstra a necessidade de ação imediata para proteção contra esse tipo de vulnerabilidade. Atualizar para as versões corrigidas e implementar medidas de segurança adicionais são passos essenciais para manter a integridade dos sistemas.
