Apache Tomcat khắc phục lỗ hổng DoS và bỏ qua quy tắc bảo mật

[WhiteHat Team]

Apache vừa phát hành các bản cập nhật bảo mật quan trọng nhằm xử lý hai lỗ hổng ảnh hưởng đến nhiều phiên bản của Apache Tomcat. Hai lỗ hổng này được định danh là CVE-2025-31650 và CVE-2025-31651, có thể dẫn đến tấn công từ chối dịch vụ (DoS) và bỏ qua quy tắc bảo mật (Bypass).

​

CVE-2025-31650: Từ chối dịch vụ qua header HTTP Prioritization không hợp lệ​

CVE-2025-31650 được đánh giá mức độ cao, liên quan đến việc xử lý lỗi không đúng khi phân tích các header ưu tiên HTTP không hợp lệ. Theo thông báo từ Apache, việc xử lý không chính xác một số header ưu tiên HTTP sai định dạng đã dẫn đến quá trình dọn dẹp yêu cầu thất bại không được thực hiện hoàn tất, gây ra hiện tượng rò rỉ bộ nhớ (memory leak). Khi số lượng yêu cầu sai định dạng tích tụ lớn theo thời gian, hệ thống có thể phát sinh lỗi OutOfMemoryException, khiến máy chủ rơi vào trạng thái từ chối dịch vụ (DoS).

Các phiên bản bị ảnh hưởng:

• Apache Tomcat 11.0.0-M2 đến 11.0.5
• Apache Tomcat 10.1.10 đến 10.1.39
• Apache Tomcat 9.0.76 đến 9.0.102

CVE-2025-31651: Bỏ qua quy tắc bảo mật Rewrite​

CVE-2025-31651 được đánh giá mức độ thấp, tuy nhiên vẫn tiềm ẩn rủi ro bảo mật trong một số cấu hình nhất định. Với những thiết lập quy tắc rewrite không phổ biến, một yêu cầu được tạo có thể bỏ qua một số quy tắc rewrite. Nếu các quy tắc này đóng vai trò thực thi chính sách bảo mật, kẻ tấn công có thể lợi dụng lỗ hổng để vượt qua các biện pháp bảo vệ và gây ảnh hưởng đến tính an toàn của hệ thống.

Các phiên bản bị ảnh hưởng:

• Apache Tomcat 11.0.0-M1 đến 11.0.5
• Apache Tomcat 10.1.0-M1 đến 10.1.39
• Apache Tomcat 9.0.0.M1 đến 9.0.102

Khuyến cáo​

Người dùng Apache Tomcat cần nhanh chóng nâng cấp lên các phiên bản 11.0.6, 10.1.40 hoặc 9.0.104 trở lên để khắc phục hai lỗ hổng bảo mật nghiêm trọng CVE-2025-31650 và CVE-2025-31651. Lưu ý rằng mặc dù bản sửa lỗi đã được tích hợp trong phiên bản 9.0.103, nhưng do bản phát hành này không được phê duyệt chính thức, người dùng bắt buộc phải cập nhật trực tiếp lên 9.0.104 hoặc phiên bản mới hơn để đảm bảo an toàn tuyệt đối cho hệ thống.

Theo Security Online​