Divulgato un exploit PoC sul bug di Apache Tomcat che porta al DOS del sistema

Redazione RHC : 7 Giugno 2025 17:17

Un exploit proof-of-concept in Apache Tomcat è stato divulgato, il quale prende di mira una vulnerabilità critica di tipo denial-of-service esponendo i server che eseguono le versioni da 10.1.10 a 10.1.39.  La vulnerabilità sfrutta un difetto fondamentale nel modo in cui Apache Tomcat elabora le intestazioni di priorità HTTP/2, prendendo di mira specificamente il sistema di gestione della memoria del server. 

L’exploit, monitorato con il codice CVE-2025-31650, sfrutta le intestazioni di priorità HTTP/2 malformate per causare l’esaurimento della memoria nelle istanze Tomcat vulnerabili.  Il ricercatore di sicurezza Abdualhadi Khalifa ha sviluppato e pubblicato il codice exploit il 5 giugno 2025. Il vettore di attacco si basa sull’invio di richieste appositamente predisposte con parametri di priorità non validi che aggirano i normali meccanismi di convalida, causando perdite di memoria progressive all’interno dell’ambiente di runtime di Tomcat.

L’exploit utilizza una sofisticata serie di intestazioni di priorità malformate, tra cui valori numerici estremi quali u=-1, q=2, u=4294967295, q=-1 e u=-2147483648, q=1,5. Questi parametri sono progettati per innescare casi limite nell’implementazione HTTP/2 di Tomcat, in cui il server non riesce a deallocare correttamente le risorse di memoria dopo aver elaborato le richieste non valide. 

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

La metodologia di attacco prevede l’avvio di attività asincrone simultanee che bombardano il server di destinazione con migliaia di richieste appositamente predisposte. L’exploit basato su Python sfrutta la libreria httpx con supporto HTTP/2 abilitato, implementando una classe chiamata TomcatKiller che gestisce l’esecuzione dell’attacco. 

Le organizzazioni che utilizzano versioni vulnerabili di Apache Tomcat dovrebbero dare immediatamente priorità all’aggiornamento a versioni con patch che risolvano CVE-2025-31650. La vulnerabilità richiede un’attenta identificazione della versione prima di implementare strategie di correzione.

Le protezioni a livello di rete dovrebbero includere l’implementazione di una limitazione della velocità per le connessioni HTTP/2 e il monitoraggio di modelli insoliti nell’utilizzo delle intestazioni di priorità. I team di sicurezza dovrebbero configurare sistemi di rilevamento delle intrusioni per identificare i modelli caratteristici di questo exploit, in particolare i valori specifici dell’intestazione di priorità non validi utilizzati nell’attacco.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli