В Apache Tomcat обнаружена опасная уязвимость в компоненте Tribes для кластеризации. Разработчики при исправлении предыдущей проблемы случайно создали новую брешь, упростившую атаку.

Ошибка позволяет злоумышленнику отправлять специально сформированные пакеты по протоколу Tribes, что приводит к удаленному выполнению кода на сервере. Уязвимость получила идентификатор CVE и затрагивает все версии Tomcat до недавнего патча.

Проблема кроется в механизме десериализации данных, который стал принимать непроверенные объекты из сети. Если сервер использует конфигурацию кластеризации по умолчанию, атакующему достаточно отправить вредоносный запрос на порт 4001.

Эксперты уже опубликовали proof-of-concept эксплойт, демонстрирующий полный цикл атаки. Пользователям рекомендуется срочно обновить Tomcat до последней версии или отключить ненужные кластерные компоненты.