Vulnerabilità DoS in Apache Tomcat: CVE-2025-53506 sotto analisi

Il team Apache ha recentemente risolto una vulnerabilità denial-of-service (DoS) classificata come ad alta severità nel C’è un nuovo ospite scomodo nei data center di mezzo mondo. Si chiama CVE-2025-53506 e non fa rumore come un ransomware, non si manifesta con popup inquietanti o furti spettacolari. No, questa vulnerabilità preferisce agire silenziosamente, bloccando i server Apache Tomcat in modo chirurgico, senza richiedere privilegi, interazione o exploit complessi. Una vera bomba logica a basso costo.

Apache, fortunatamente, ha agito in fretta. L’11 luglio 2025 ha rilasciato una patch per questo bug classificato come Denial of Service (DoS) a severità elevata, che colpisce in particolare l’implementazione di HTTP/2 nel popolare web server Java. A dare l’allarme è stato anche il team Insikt Group di Recorded Future, ha pubblicato un’analisi dettagliata, confermando l’assenza di exploit attivi nel momento della disclosure ma suggerendo di non abbassare la guardia.

Come funziona l’attacco (e perché è così subdolo)

HTTP/2, il protocollo nato per rendere più veloce la comunicazione web, gestisce le connessioni TLS attraverso uno scambio di “frame” iniziali tra client e server, tra cui il famigerato SETTINGS. E qui nasce il problema: se il client non invia il SETTINGS ACK, il server Apache Tomcat non può applicare il limite al numero massimo di stream concorrenti. Ogni stream viene associato a un thread, ed ecco che l’aggressore può semplicemente aprire centinaia (o migliaia) di connessioni, esaurendo il thread pool e bloccando il servizio, senza violare firewall né generare traffico anomalo.

Nessun privilegio richiesto. Nessun input da parte dell’utente. Nessun exploit in stile Hollywood. Solo un abuso intelligente di un comportamento previsto dal protocollo stesso. Questo rende l’attacco:

• Semplice da eseguire
• Difficile da rilevare
• Devastante in ambienti ad alta disponibilità

Il punteggio CVSS v4 assegnato da Recorded Future è 6.9, tecnicamente classificato come “Medium”, ma nella pratica l’impatto può essere critico, soprattutto in architetture containerizzate o microservizi dove ogni blocco può avere effetto a cascata.

Le versioni coinvolte e il consiglio di Apache

Secondo la mailing list ufficiale di Apache e l’advisory su GitHub, le versioni vulnerabili includono:

• Tomcat 11.0.0-M1 → 11.0.8
• Tomcat 10.1.0-M1 → 10.1.42
• Tomcat 9.0.0.M1 → 9.0.106

Il consiglio, lapidario come sempre: aggiornare subito a Tomcat 11.0.9, 10.1.43 o 9.0.107, dove il bug è stato definitivamente corretto. Le patch rafforzano il controllo sugli stream e inseriscono comportamenti di fallback in caso di SETTINGS ACK mancanti.

Nessun exploit… ancora

Nell’analisi prodotta da Recorded Future, viene chiarito che non sono ancora state osservate campagne di attacco attivo che sfruttino questa vulnerabilità. Ma attenzione: nel ciclo di vita di una CVE, il periodo tra divulgazione e weaponization è spesso molto breve.

L’interesse della community cybercriminale cresce proporzionalmente alla disponibilità di PoC (Proof of Concept) pubblici. E considerando che l’exploit è banale da riprodurre con pochi script Python o tramite strumenti HTTP/2 test harness, è probabile che entro poche settimane CVE-2025-53506 entrerà nei toolkit DoS di attori malevoli – soprattutto nei contesti hacktivisti o per attacchi distruttivi mirati.

Raccomandazioni per i sysadmin svegli

Se gestite infrastrutture esposte su internet (pensiamo a portali, API gateway, backend RESTful), e avete HTTP/2 attivo su Tomcat, agite ora. Le azioni possibili:

• Patch immediata delle versioni indicate
• In ambienti legacy: disabilitazione temporanea del modulo HTTP/2
• Deployment dietro reverse proxy (NGINX, HAProxy) con terminazione TLS e throttling sugli stream
• Logging e monitoraggio dei thread pool per rilevare consumi anomali o esaurimenti ricorrenti

La vulnerabilità è mappata come CWE-400 (Uncontrolled Resource Consumption), un classico intramontabile nei test di resilienza che torna ciclicamente in nuove forme.

Una riflessione finale

Questo caso rappresenta l’ennesima conferma che la sicurezza non è solo una questione di “exploit” ma anche di design. Quando un protocollo così diffuso come HTTP/2 permette un attacco DoS “by design” in assenza di controlli puntuali, è evidente che la resilienza dell’infrastruttura dipende da ogni singolo dettaglio: timeout, acknowledgment, stream limits. Ogni bit conta.

Grazie ad Apache per la risposta veloce. Ma ora tocca a chi amministra, patcha, monitora e difende. E possibilmente… dorme sereno.

• Security Advisory Apache
• GitHub Advisory CVE-2025-53506
• Analisi tecnica di CybersecurityNews

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Sandro Sana

Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Aree di competenza: Cyber Threat Intelligence, NIS2, Governance & Compliance della Sicurezza, CSIRT & Crisis Management, Ricerca, Divulgazione e Cultura Cyber

Visita il sito web dell'autore