CVE-2024-56337 in Tomcat
Сводка
по VulDB • 24.07.2026
Уязвимость состояния гонности (Race Condition) типа Time-of-check Time-of-use (TOCTOU) в Apache Tomcat.
Эта проблема затрагивает следующие версии Apache Tomcat: от 11.0.0-M1 до 11.0.1 включительно, от 10.1.0-M1 до 10.1.33 включительно, а также от 9.0.0.M1 до 9.0.97 включительно.
Меры по устранению уязвимости CVE-2024-50379 были неполными.
Пользователям, запускающим Tomcat на файловых системах с регистронезависимым поиском (case insensitive) и имеющим включенную возможность записи для сервлета по умолчанию (параметр начальной настройки readonly установлен в отличное от значения по умолчанию значение false), может потребоваться дополнительная конфигурация для полной нейтрализации CVE-2024-50379, в зависимости от используемой версии Java вместе с Tomcat: - при запуске на Java 8 или Java 11: системное свойство sun.io.useCanonCaches должно быть явно установлено в false (по умолчанию оно равно true); - при запуске на Java 17: если задано системное свойство sun.io.useCanonCaches, его необходимо установить в значение false (по умолчанию оно уже равно false); - при запуске начиная с Java 21: дополнительная конфигурация не требуется (системное свойство и проблемный кэш были удалены).
Начиная с версий Tomcat 11.0.3, 10.1.35 и 9.0.99 будут добавлены проверки корректности установки sun.io.useCanonCaches перед разрешением включения возможности записи для сервлета по умолчанию на регистронезависимых файловых системах. Tomcat также будет устанавливать значение sun.io.useCanonCaches в false по умолчанию там, где это возможно.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.