CVE-2017-12617highbajo ataqueCWE-434

CVE-2017-12617: fallo de gravedad alta en Apache Tomcat

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache Tomcat+ Monitorear org.apache.tomcat.embed:tomcat-embed-core

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8.1epss 100%
de la publicación al arma2 días
Publicada en NVD3 oct
1ª PoC+2d
metasploit3 oct
CISA KEV+1634d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
2 productos
Red Hat Enterprise Linux 5 · Red Hat JBoss Enterprise Application Platform 5
workaround: Ensure that readonly is set to true (the default) for the DefaultServlet, WebDAV servlet or application context. Block HTTP methods that permit resource modification for untrusted users.
Corregido
25 productos (743 componentes)
Red Hat JBoss Enterprise Application Platform 6.4 for RHEL 6 Server · Red Hat JBoss Enterprise Application Platform 6.4 for RHEL 5 Server · Red Hat JBoss Enterprise Application Platform 6.4 for RHEL 7 Server · Red Hat JBoss Enterprise Web Server 2 for RHEL 6 Server · Red Hat JBoss Enterprise Web Server 2 for RHEL 7 Server · y otros 20
corrección ↗
No afectado
6 productos (10 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Software Collections · Red Hat JBoss Data Grid 6 · Red Hat JBoss Data Virtualization 6 · Red Hat JBoss Fuse 6 · Red Hat JBoss Operations Network 3 · y otros 1
Acción exigida por CISAplazo federal: 2022-04-15

Apply updates per vendor instructions.

En resumen

Apache Tomcat permitía que atacantes subieran y ejecutaran archivos JSP maliciosos cuando las solicitudes HTTP PUT estaban habilitadas. Un archivo JSP subido podría ejecutar código arbitrario en el servidor.

Detalle técnico

Cuando el parámetro readonly del servlet predeterminado se establece en false, habilitando solicitudes HTTP PUT, un atacante puede cargar un archivo JSP manipulado en el directorio web. Al realizar solicitudes HTTP GET posteriores al JSP cargado, el servidor ejecuta código incrustado con privilegios de servidor, permitiendo ejecución remota de código.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

When running Apache Tomcat versions 9.0.0.M1 to 9.0.0, 8.5.0 to 8.5.22, 8.0.0.RC1 to 8.0.46 and 7.0.0 to 7.0.81 with HTTP PUTs enabled (e.g. via setting the readonly initialisation parameter of the Default servlet to false) it was possible to upload a JSP file to the server via a specially crafted request. This JSP could then be requested and any code it contained would be executed by the server.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache Software Foundation · Apache Tomcat
PoCs públicas encontradas — 32✓ VexDay Proof
exploitdb✓ VexDay Proofwww.exploit-db.com/exploits/43008exploitdb✓ VexDay Proofwww.exploit-db.com/exploits/42966githubgithub.com/cyberheartmi9/CVE-2017-12617★ 400githubgithub.com/LongWayHomie/CVE-2017-12617★ 6githubgithub.com/ygouzerh/CVE-2017-12617★ 2githubgithub.com/K3ysTr0K3R/CVE-2017-12617-EXPLOIT★ 1githubgithub.com/jptr218/tc_hack★ 1githubgithub.com/tyranteye666/tomcat-cve-2017-12617★ 1githubgithub.com/yZee00/CVE-2017-12617★ 0githubgithub.com/devcoinfet/CVE-2017-12617★ 0githubgithub.com/DevaDJ/CVE-2017-12617★ 0githubgithub.com/scirusvulgaris/CVE-2017-12617★ 0githubgithub.com/qiantu88/CVE-2017-12617★ 0vulncheckvulncheck.com/xdb/4d32b8f34452no verificadovulncheckvulncheck.com/xdb/8fd4c4b18c5fno verificadovulncheckvulncheck.com/xdb/b858a57a9e2eno verificadocve_referencewww.exploit-db.com/exploits/42966/no verificadocve_referencewww.exploit-db.com/exploits/43008/no verificadovulncheckvulncheck.com/xdb/b95c22f2d53ano verificadovulncheckvulncheck.com/xdb/476468103ba2no verificadovulncheckvulncheck.com/xdb/c42eddecf666no verificadovulncheckvulncheck.com/xdb/bd768a95e919no verificadovulncheckvulncheck.com/xdb/4659f86bc8f1no verificadovulncheckvulncheck.com/xdb/a95e521b14feno verificadovulncheckvulncheck.com/xdb/89ebe594235fno verificadovulncheckvulncheck.com/xdb/c733f0b8ba46no verificadovulncheckvulncheck.com/xdb/c34ae4bbbf1eno verificadovulncheckvulncheck.com/xdb/0cbcf731ead7no verificadovulncheckvulncheck.com/xdb/d105c8c6f54fno verificadovulncheckvulncheck.com/xdb/6fba41ba4785no verificadovulncheckvulncheck.com/xdb/7804de914c0cno verificadovulncheckvulncheck.com/xdb/f5e54c16d591no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Apache Tomcat

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-24813CRITICALApache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUTEPSS 99.9%KEVCVE-2017-12615HIGHCVE-2017-12615EPSS 99.7%KEVCVE-2026-34486HIGHApache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptorEPSS 98.5%KEVCVE-2016-8735CRITICALCVE-2016-8735EPSS 90.3%KEVCVE-2018-11784—CVE-2018-11784EPSS 97.7%CVE-2021-33037—Incorrect Transfer-Encoding handling with HTTP/1.0EPSS 74.7%