Tomcat Manager WAR Deploy RCE

1. Descripción técnica del ataque

Apache Tomcat incluye una aplicación de administración llamada Manager (/manager/html) que permite desplegar aplicaciones web subiendo archivos WAR (Web Application Archive). Un WAR es esencialmente un ZIP que contiene una aplicación Java/JSP completa.

Si un atacante obtiene acceso al Manager (normalmente por credenciales débiles o por defecto), puede subir un WAR que contenga un JSP malicioso. Al desplegarse, Tomcat lo expone en una ruta accesible (/<nombre>/), y al solicitarla se ejecuta el JSP con los privilegios del proceso Tomcat, obteniendo ejecución remota de código.

No es un fallo del software en sí, sino un abuso de funcionalidad legítima habilitado por una configuración insegura (credenciales débiles + Manager expuesto).

2. Impacto de la vulnerabilidad

• RCE con los privilegios del usuario que ejecuta Tomcat (a menudo tomcat).
• Punto de entrada inicial muy común que da pie a escalada de privilegios.
• Acceso persistente: la webshell desplegada queda disponible hasta que se elimine la aplicación.

3. Historia y evolución

• El despliegue de WAR a través del Manager es una funcionalidad presente desde hace décadas en Tomcat.
• El vector clásico es el uso de credenciales por defecto (tomcat:tomcat, tomcat:s3cret, admin:admin, etc.) que muchos despliegues nunca cambian.
• Está plenamente automatizado en Metasploit (exploit/multi/http/tomcat_mgr_upload y tomcat_mgr_deploy) y es uno de los caminos más frecuentes en CTFs con Tomcat.

4. Factores que la hacen posible

1. La aplicación Manager accesible desde la red del atacante (/manager/html).
2. Credenciales válidas del rol manager-gui (frecuentemente débiles, por defecto o filtradas en mensajes de error / archivos tomcat-users.xml).
3. Permisos de despliegue habilitados para ese rol.

5. Detección

• Identificación del servicio:

• Acceso al Manager: navegar a http://target:8080/manager/html. Al cancelar el prompt de autenticación, Tomcat suele mostrar una página de error que revela las credenciales por defecto de ejemplo.
• Fuerza bruta de credenciales: Metasploit (auxiliary/scanner/http/tomcat_mgr_login) o hydra.

6. Mitigación

1. Cambiar las credenciales por defecto y usar contraseñas fuertes para los roles de gestión.
2. Restringir el acceso al Manager por IP (RemoteAddrValve) o eliminarlo si no se usa.
3. No exponer Tomcat directamente a Internet; situarlo tras un proxy inverso con autenticación.
4. Ejecutar Tomcat con un usuario sin privilegios para limitar el impacto de un compromiso.

7. Ejemplo de explotación real

Generamos un WAR malicioso con msfvenom, lo subimos por el Manager y solicitamos su ruta:

8. Clasificación

• Tipo: Insecure File Upload / Abuso de funcionalidad → Remote Code Execution
• CWE:
  • CWE-434 – Unrestricted Upload of File with Dangerous Type
  • CWE-1392 / CWE-1393 – Use of Default / Weak Credentials

9. Resumen