Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Vulnerabilità DoS in Apache Tomcat: CVE-2025-53506 sotto analisi

Sandro Sana : 19 Luglio 2025 09:06

Il team Apache ha recentemente risolto una vulnerabilità denial-of-service (DoS) classificata come ad alta severità nel C’è un nuovo ospite scomodo nei data center di mezzo mondo. Si chiama CVE-2025-53506 e non fa rumore come un ransomware, non si manifesta con popup inquietanti o furti spettacolari. No, questa vulnerabilità preferisce agire silenziosamente, bloccando i server Apache Tomcat in modo chirurgico, senza richiedere privilegi, interazione o exploit complessi. Una vera bomba logica a basso costo.

Apache, fortunatamente, ha agito in fretta. L’11 luglio 2025 ha rilasciato una patch per questo bug classificato come Denial of Service (DoS) a severità elevata, che colpisce in particolare l’implementazione di HTTP/2 nel popolare web server Java. A dare l’allarme è stato anche il team Insikt Group di Recorded Future, ha pubblicato un’analisi dettagliata, confermando l’assenza di exploit attivi nel momento della disclosure ma suggerendo di non abbassare la guardia.

Come funziona l’attacco (e perché è così subdolo)

HTTP/2, il protocollo nato per rendere più veloce la comunicazione web, gestisce le connessioni TLS attraverso uno scambio di “frame” iniziali tra client e server, tra cui il famigerato SETTINGS. E qui nasce il problema: se il client non invia il SETTINGS ACK, il server Apache Tomcat non può applicare il limite al numero massimo di stream concorrenti. Ogni stream viene associato a un thread, ed ecco che l’aggressore può semplicemente aprire centinaia (o migliaia) di connessioni, esaurendo il thread pool e bloccando il servizio, senza violare firewall né generare traffico anomalo.

Nessun privilegio richiesto. Nessun input da parte dell’utente. Nessun exploit in stile Hollywood. Solo un abuso intelligente di un comportamento previsto dal protocollo stesso. Questo rende l’attacco:

  • Semplice da eseguire
  • Difficile da rilevare
  • Devastante in ambienti ad alta disponibilità

PARTE LA PROMO ESTATE -40%

RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!

Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]



Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


Il punteggio CVSS v4 assegnato da Recorded Future è 6.9, tecnicamente classificato come “Medium”, ma nella pratica l’impatto può essere critico, soprattutto in architetture containerizzate o microservizi dove ogni blocco può avere effetto a cascata.

Le versioni coinvolte e il consiglio di Apache

Secondo la mailing list ufficiale di Apache e l’advisory su GitHub, le versioni vulnerabili includono:

  • Tomcat 11.0.0-M1 → 11.0.8
  • Tomcat 10.1.0-M1 → 10.1.42
  • Tomcat 9.0.0.M1 → 9.0.106

Il consiglio, lapidario come sempre: aggiornare subito a Tomcat 11.0.9, 10.1.43 o 9.0.107, dove il bug è stato definitivamente corretto. Le patch rafforzano il controllo sugli stream e inseriscono comportamenti di fallback in caso di SETTINGS ACK mancanti.

Nessun exploit… ancora

Nell’analisi prodotta da Recorded Future, viene chiarito che non sono ancora state osservate campagne di attacco attivo che sfruttino questa vulnerabilità. Ma attenzione: nel ciclo di vita di una CVE, il periodo tra divulgazione e weaponization è spesso molto breve.

L’interesse della community cybercriminale cresce proporzionalmente alla disponibilità di PoC (Proof of Concept) pubblici. E considerando che l’exploit è banale da riprodurre con pochi script Python o tramite strumenti HTTP/2 test harness, è probabile che entro poche settimane CVE-2025-53506 entrerà nei toolkit DoS di attori malevoli – soprattutto nei contesti hacktivisti o per attacchi distruttivi mirati.

Raccomandazioni per i sysadmin svegli

Se gestite infrastrutture esposte su internet (pensiamo a portali, API gateway, backend RESTful), e avete HTTP/2 attivo su Tomcat, agite ora. Le azioni possibili:

  • Patch immediata delle versioni indicate
  • In ambienti legacy: disabilitazione temporanea del modulo HTTP/2
  • Deployment dietro reverse proxy (NGINX, HAProxy) con terminazione TLS e throttling sugli stream
  • Logging e monitoraggio dei thread pool per rilevare consumi anomali o esaurimenti ricorrenti

La vulnerabilità è mappata come CWE-400 (Uncontrolled Resource Consumption), un classico intramontabile nei test di resilienza che torna ciclicamente in nuove forme.

Una riflessione finale

Questo caso rappresenta l’ennesima conferma che la sicurezza non è solo una questione di “exploit” ma anche di design. Quando un protocollo così diffuso come HTTP/2 permette un attacco DoS “by design” in assenza di controlli puntuali, è evidente che la resilienza dell’infrastruttura dipende da ogni singolo dettaglio: timeout, acknowledgment, stream limits. Ogni bit conta.

Grazie ad Apache per la risposta veloce. Ma ora tocca a chi amministra, patcha, monitora e difende. E possibilmente… dorme sereno.

Sandro Sana
Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Lista degli articoli
Visita il sito web dell'autore

Articoli in evidenza

HTTP/1.1 Must Die! Falle critiche mettono milioni di siti web a rischio
Di Redazione RHC - 08/08/2025

Una falla di sicurezza cruciale nell’HTTP/1.1 è stata resa pubblica dagli esperti di sicurezza, mettendo in luce una minaccia che continua ad impattare sull’infrastruttura web da pi...

Scempio Digitale: Instagram della Fondazione Giulia Cecchettin, la ragazza uccisa dall’ex fidanzato è stato hackerato
Di Redazione RHC - 08/08/2025

Il cybercrime è sempre da condannare. Che tu colpisca una multinazionale o un piccolo negozio online, resta un crimine. Ma quando prendi di mira ospedali, associazioni senza scopo di lucro, fonda...

Il nuovo firmware del Flipper Zero made in DarkWeb, diventa la chiave per ogni auto
Di Redazione RHC - 08/08/2025

Un nuovo firmware personalizzato per il dispositivo multiuso Flipper Zero, è capace di eludere molti dei sistemi di sicurezza con codice variabile, implementati nella maggioranza dei veicoli di u...

Panico da AI: stiamo entrando nella fase più pericolosa della rivoluzione digitale
Di Redazione RHC - 08/08/2025

Negli ultimi mesi, il dibattito sull’intelligenza artificiale ha assunto toni sempre più estremi. Da un lato, le grandi aziende che sviluppano e vendono soluzioni AI spingono narrazioni ap...

Windows Perde terreno. Linux in crescita sui desktop aziendali, la motivazione è più sicurezza
Di Redazione RHC - 08/08/2025

L’utilizzo di Linux su desktop e laptop aziendali continua a crescere. Un’analisi di quasi 18,5 milioni di dispositivi ha rilevato che la quota di Linux sui dispositivi aziendali è ...