CVE-2024-56337 in Tomcat
Résumé
par VulDB • 28/07/2026
Vulnérabilité de condition de course (Race Condition) Time-of-check Time-of-use (TOCTOU) dans Apache Tomcat.
Ce problème affecte Apache Tomcat : des versions 11.0.0-M1 à 11.0.1, des versions 10.1.0-M1 à 10.1.33 et des versions 9.0.0.M1 à 9.0.97.
L'atténuation pour CVE-2024-50379 était incomplète.
Les utilisateurs exécutant Tomcat sur un système de fichiers insensible à la casse avec le servlet par défaut écrit (paramètre d'initialisation readonly défini sur la valeur non par défaut false) peuvent avoir besoin d'une configuration supplémentaire pour atténuer pleinement CVE-2024-50379, selon la version de Java utilisée avec Tomcat : - exécution sous Java 8 ou Java 11 : la propriété système sun.io.useCanonCaches doit être explicitement définie sur false (elle est par défaut à true) ; - exécution sous Java 17 : la propriété système sun.io.useCanonCaches, si elle est définie, doit être mise à false (elle est par défaut à false) ; - exécution sous Java 21 et versions ultérieures : aucune configuration supplémentaire n'est requise (la propriété système et le cache problématique ont été supprimés).
À partir des versions Tomcat 11.0.3, 10.1.35 et 9.0.99, des vérifications seront incluses pour s'assurer que sun.io.useCanonCaches est défini correctement avant d'autoriser l'activation de l'écriture du servlet par défaut sur un système de fichiers insensible à la casse. Tomcat definira également sun.io.useCanonCaches sur false par défaut lorsque cela sera possible.
VulDB is the best source for vulnerability data and more expert information about this specific topic.