VS meldt actief misbruik van kritiek beveiligingslek in Apache Tomcat
Aanvallers maken actief misbruik van een kritieke kwetsbaarheid waardoor Apache Tomcat-webservers zijn over te nemen, zo meldt het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security. Het beveiligingslek werd op 10 februari met het uitkomen van Apache Tomcat 11.0.3 verholpen. Het bestaan van de kwetsbaarheid (CVE-2025-24813) werd echter een maand later op 10 maart bekendgemaakt.
Wanneer de Tomcat-installatie aan bepaalde voorwaarden voldoet is remote code execution mogelijk. Een van de voorwaarden is 'writes enabled for the default servlet', een optie die standaard staat uitgeschakeld. Kort na de bekendmaking van de kwetsbaarheid verscheen er exploitcode op internet. Het Amerikaanse cyberagentschap CISA laat nu weten dat aanvallers actief misbruik van het beveiligingslek maken.
Details over deze aanvallen zijn niet door het cyberagentschap gegeven. Amerikaanse overheidsinstanties zijn door het CISA opgedragen om de updates voor het Tomcat-lek voor 22 april te installeren. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.
Een niet root-gebruiker kan prima commando's uitvoeren toch? Een webserver is wat anders dan het onderliggende OS natuurlijk: er staat niet dat het onderliggende OS over te nemen is (wat op zich als je tomcat als root draait wel stuk eenvoudiger is dan).
Een niet root-gebruiker kan prima commando's uitvoeren toch? Een webserver is wat anders dan het onderliggende OS natuurlijk: er staat niet dat het onderliggende OS over te nemen is (wat op zich als je tomcat als root draait wel stuk eenvoudiger is dan).
Onder windows is het best erg bij een default instelling:
The Windows installer for Apache Tomcat defaults to a blank password for the administrative user. If this is not changed during the install process, then by default a user is created with the name admin, roles admin and manager and a blank password.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
