گروه توسعه دهنده ی سرور آپاچی Tomcat چند آسیب پذیری را وصله کرده اند که یکی از این آسیب پذیری ها حیاتی بوده و به یک مهاجم از راه دور اجازه ی اجرای کدهای دلخواه بر روی سرور آسیب پذیر را می دهد. آپاچی Tomcat توسط بنیاد نرم افزاری آپاچی توسعه یافته و یک وب سرور و سیستم servlet متن باز است که در تعدادی از محصولات جاوا EE مورد استفاده قرار گرفته است.
برخلاف آسیب پذیری آپاچی Struts2 که اخیرا در نقض داده ی شرکت Equifax مورد بهره برداری قرار گرفت، احتمال بهره‌برداری از آسیب‌پذیری Tomcat بسیار کمتر است. یک آسیب‌پذیری اجرای کد از راه دور با شناسه‌ی CVE-2017-12617 در این وب سرور به این دلیل وجود دارد که داده‌های ورودی کاربر، به‌طور مناسبی اعتبارسنجی نمی‌شوند.
تنها سیستم‌هایی تحت تاثیر این آسیب‌پذیری قرار گرفته‌اند که در آن‌ها HTTP PUT فعال بوده است. برای بهره‌برداری از این آسیب‌پذیری، مهاجم نیاز دارد تا یک فایل صفحه‌ی سرور جاوا (JSP) را روی سرور آسیب‌پذیر بارگذاری کند و زمانی که این فایل درخواست شود، کدهای مخرب موجود در آن اجرا شده و از آسیب‌پذیری بهره‌برداری می‌کند.
برای بارگذاری این فایل مخرب و جعلی JSP نیز، مهاجم باید یک درخواست HTTP PUT به سرور آسیب‌پذیر ارسال کند. این مسئله در لیست ایمیل گروه Tomcat هنگام ارائه‌ی یک کد اثبات مفهومی توضیح داده شده است. بهره‌برداری از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کدهای دلخواه را بر روی سرور اجرا کند. آسیب‌پذیری اجرای کد از راه دور تمامی نسخه‌های آپاچی Tomcat را تحت تاثیر قرار داده و درجه‌ی مهم به آن اختصاص داده شده است.
یک آسیب‌پذیری مشابه با شناسه‌ی CVE-2017-12615 بر روی Tomcat 7 ویندوز در تاریخ ۱۹ سپتامبر با انتشار نسخه‌ی ۷.۰.۸۱ وصله شده است. به مدیران سیستم توصیه شده تا هرچه سریع‌تر به‌روزرسانی‌های امنیتی را اعمال کنند. محققان تاکنون بهره‌برداری فعال از این آسیب‌پذیری‌ها را در دنیای واقعی مشاهده نکرده‌اند.
