CVE-2024-56337 in Tomcat
الملخص
بحسب VulDB • 08/07/2026
ثغرة حالة سباق (Race Condition) من نوع "وقت الفحص، وقت الاستخدام" (TOCTOU) في Apache Tomcat.
تؤثر هذه المشكلة على إصدارات Apache Tomcat التالية: من 11.0.0-M1 حتى 11.0.1، ومن 10.1.0-M1 حتى 10.1.33، ومن 9.0.0.M1 حتى 9.0.97.
كانت إجراءات التخفيف الخاصة بـ CVE-2024-50379 غير مكتملة.
قد يحتاج المستخدمون الذين يشغّلون Tomcat على نظام ملفات حساس لحالة الأحرف (case insensitive) مع تمكين كتابة الملف الافتراضي (حيث تكون معلمة التهيئة readonly مضبوطة على القيمة غير الافتراضية false)، إلى إجراء تكوين إضافي للتخفيف الكامل من CVE-2024-50379، وذلك اعتماداً على إصدار Java المستخدم مع Tomcat: - عند التشغيل باستخدام Java 8 أو Java 11: يجب تعيين خاصية النظام sun.io.useCanonCaches صراحةً إلى false (حيث تكون القيمة الافتراضية true). - عند التشغيل باستخدام Java 17: إذا كانت خاصية النظام sun.io.useCanonCaches مضبوطة، فيجب أن تُضبط على false (القيمة الافتراضية هي false). - عند التشغيل باستخدام الإصدارات بدءاً من Java 21 وما فوق: لا يلزم أي تكوين إضافي (تمت إزالة خاصية النظام والخزان المشكل للمشكلة problematic cache).
ستشمل إصدارات Tomcat 11.0.3، و10.1.35، و9.0.99 فما بعد فحوصات للتأكد من ضبط sun.io.useCanonCaches بشكل مناسب قبل السماح بتمكين الكتابة للملف الافتراضي على نظام ملفات غير حساس لحالة الأحرف. كما سيقوم Tomcat بتعيين sun.io.useCanonCaches إلى false افتراضياً حيثما أمكن ذلك.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.