Blog > Vulnérabilités critiques

Vulnérabilité de sécurité critique dans Apache Tomcat (CVE-2025-24813 score de 9.8/10)

Une vulnérabilité de sécurité de niveau de sévérité CRITIQUE de CVE-2025-24813 (score de 9.8) a été découverte sur Apache Tomcat. 

Cette faille, de type RCE (Remote Code Execution ou exécution de code à distance), présente le risque qu’un individu malveillant puisse exécuter du code arbitraire à distance sur une machine, sans nécessiter d’authentification. Autrement dit, l’attaque peut aboutir même si vous utilisez un mot de passe très complexe avec le MFA pour accéder au serveur qui à la vulnérabilité RCE.

 

Versions Apache Tomcat vulnérables

Les versions suivantes d'Apache Tomcat sont concernées :

  • Apache Tomcat 11.0.0-M1 à 11.0.2
  • Apache Tomcat 10.1.0-M1 à 10.1.34
  • Apache Tomcat 9.0.0.M1 à 9.0.98 

Considérations sur les vulnérabilités ayant un score de 9.8

Le score de la vulnérabilité étant très élevé (9.8 sur une échelle de 10), cela signifie que:

  • La vulnérabilité peut facilement être exploitée à distance.
  • Aucune authentification n'est requise pour exploiter la vulnérabilité.
  • L'attaquant n'a pas besoin de connaître le mot de passe du serveur attaqué
  • La vulnérabilité peut être exploitée facilement.
  • les impacts peuvent être majeurs sur la cible attaquée

Des preuves de concepts (POC) sont disponibles actuellement

  • Des preuves de concepts /POC  (programmes informatiques montrant comment la vulnérabilité peut être exploitée) sont actuellement disponibles et accessibles sur Internet. N’importe qui peut les télécharger.
  • L'existence de POC augmente fortement le risque d’exploitation d’une vulnérabilité.

 

Mesures recommandées 

Veuillez mettre à jour vos systèmes Apache Tomcat comme suit: 

  • Apache Tomcat 11.0.0-M1 à 11.0.2 : migrer vers la version 11.0.3 ou plus récente.
  • Apache Tomcat 10.1.0-M1 à 10.1.34:  migrer vers la version 10.1.35 ou plus récente.
  • Apache Tomcat 9.0.0.M1 à 9.0.98 : migrer vers la version 9.0.99 ou plus récente.

 

Recommandations additionnelles (si vous n’êtes pas en mesure d'avoir la liste exhaustive de vos serveurs Apache Tomcat) : 

  • Faire un scan de vulnérabilités de vos serveurs web (internes et externes) afin de vous assurer qu’ils ne sont pas vulnérables. 
  • Commencez par scanner vos serveurs web exposés sur Internet. Ces serveurs seront attaqués en priorité.
  • Scannez vos serveurs web accessibles uniquement en interne.

 

Que fait Streamscan pour vous protéger

Si vous êtes partenaire de Streamscan :

  • Nous avons mis en place une cellule de crise pour suivre l’évolution de cette vulnérabilité critique. Nous appliquerons les mesures de réponse appropriées.
  • Notre équipe de surveillance de la sécurité DRG/MDR maintient sa vigilance lors de la surveillance de votre réseau.

  • Besoin d'aide? Parlez à l'un de nos experts ou appelez-nous au +1 877 208-9040.