Authentifizierungs Bypass Sicherheitslücke in Apache Tomcat: CVE-2024-52316

Table of Contents

Am 18. November 2024 wurde eine kritische Schwachstelle in Apache Tomcat bekannt (CVE-2024-52316), die eine Umgehung der Authentifizierung ermöglicht. Die Schwachstelle betrifft Benutzer, die eine benutzerdefinierte Jakarta-Authentication-Komponente (ehemals JASPIC) verwenden. Wenn diese Komponente während des Authentifizierungsprozesses eine Ausnahme auslöst, ohne explizit einen HTTP-Fehlerstatus zu setzen, kann die Authentifizierung fälschlicherweise als erfolgreich angesehen werden.

Betroffene Versionen

  • Apache Tomcat 11: Versionen 11.0.0-M1 bis 11.0.0-M26
  • Apache Tomcat 10.1: Versionen 10.1.0-M1 bis 10.1.30
  • Apache Tomcat 9: Versionen 9.0.0-M1 bis 9.0.95

Ein Upgrade auf die genannten Versionen wird dringend empfohlen, um mögliche Sicherheitsrisiken zu vermeiden. Es sind derzeit keine bekannten Jakarta Authentication-Komponenten betroffen, die dieses Verhalten zeigen, dennoch wird Vorsicht empfohlen.

Weitere Informationen finden Sie in der offiziellen Ankündigung:

Tags :

Related Posts

Neue kritische Schwachstelle CVE-2024-52533 in GNOME GLib entdeckt

Am 11. November 2024 wurde eine schwerwiegende Schwachstelle in GNOME GLib bekannt gegeben (CVE-2024-52533). Die Schwachstelle betrifft die Datei gio/gsocks4aproxy.c in GNOME GLib vor Version 2.82.1 und ermöglicht einen Buffer Overflow durch einen Off-by-One-Fehler. Dieser Fehler resultiert aus einer unzureichenden Puffergröße (SOCKS4_CONN_MSG_LEN), die das abschließende Null-Byte nicht berücksichtigt.

Read More

Exploit für unpatchte Citrix-Sicherheitslücke bekannt geworden

Anfang November 2024 hat Watchtowr Labs Details zu einer noch nicht gepatchten Sicherheitslücke in Citrix’ Remote-Zugriffs-Lösung veröffentlicht. Diese Schwachstelle betrifft speziell Citrix Virtual Apps and Desktops, eine Lösung, die häufig für sicheren Remote-Zugang zu Desktop-Anwendungen verwendet wird – etwa in Call-Center-Umgebungen.

Read More

MoveIt-Hack: Amazon bestätigt Datendiebstahl von 2,8 Mio Zeilen

Amazon hat bestätigt, dass Mitarbeiterdaten nach einem Sicherheitsvorfall bei einem Drittanbieter gestohlen wurden. Betroffen sind ausschließlich arbeitsbezogene Informationen wie E-Mail-Adressen, Durchwahlnummern und Bürostandorte. Amazon versichert laut TechCrunch, dass weder AWS noch andere interne Systeme beeinträchtigt wurden und keine sensiblen Daten wie Sozialversicherungsnummern betroffen sind. Die Sicherheitslücke bei dem betroffenen Anbieter wurde inzwischen behoben.

Read More