浙江体彩网-首页_欢迎您(yb3548.cn)是亚洲优质游戏品牌,综合各种在线游戏于一站式的大型游戏平台,经营多年一直为大家提供安全稳定的游戏环境,浙江体彩网-首页_欢迎您值得信赖,期待广大游戏爱好者前来体验,浙江体彩网-首页_欢迎您将把最好的游戏体验带给大家!

<dl id="rdrp5"><del id="rdrp5"><th id="rdrp5"></th></del></dl>
<ruby id="rdrp5"><ins id="rdrp5"><cite id="rdrp5"></cite></ins></ruby>
<span id="rdrp5"><dl id="rdrp5"><del id="rdrp5"></del></dl></span>
<strike id="rdrp5"></strike>
<th id="rdrp5"><video id="rdrp5"><ruby id="rdrp5"></ruby></video></th>
<span id="rdrp5"></span>
<noframes id="rdrp5">
<ruby id="rdrp5"></ruby>
网络信息中心
 
关于Apache Tomcat存在文件包含漏洞的安全公告
发布人:系统管理员  发布时间:2020-02-21   动态浏览次数:18

2020年1月6日,国家信息安全漏洞共享平台(CNVD)收录了由北京长亭科技有限公司发现并报送的Apache Tomcat文件包含漏洞(CNVD-2020-10487,对应CVE-2020-1938)。攻击者利用该漏洞,可在未授权的情况下远程读取特定目录下的任意文件。目前,漏洞细节尚未公开,厂商已发布新版本完成漏洞修复。

一、漏洞情况分析

Tomcat是Apache软件基金会Jakarta 项目中的一个核心项目,作为目前比较流行的Web应用服务器,深受Java爱好者的喜爱,并得到了部分软件开发商的认可。Tomcat服务器是一个免费的开放源代码的Web应用服务器,被普遍使用在轻量级Web应用服务的构架中。

2020年1月6日,国家信息安全漏洞共享平台(CNVD)收录了由北京长亭科技有限公司发现并报送的Apache Tomcat文件包含漏洞。Tomcat AJP协议由于存在实现缺陷导致相关参数可控,攻击者利用该漏洞可通过构造特定参数,读取服务器webapp下的任意文件。若服务器端同时存在文件上传功能,攻击者可进一步实现远程代码的执行。

CNVD对该漏洞的综合评级为“高危”。

二、漏洞影响范围

漏洞影响的产品版本包括:

Apache Tomcat 6

Apache Tomcat 7 < 7.0.100

Apache Tomcat 8 < 8.5.51

Apache Tomcat 9 < 9.0.31


CNVD平台对Apache Tomcat AJP协议在我国境内的分布情况进行统计,结果显示我国境内的IP数量约为55.5万,通过技术检测发现我国境内共有43197台服务器受此漏洞影响,影响比例约为7.8%。

三、漏洞处置建议

目前,Apache官方已发布9.0.31、8.5.51及7.0.100版本对此漏洞进行修复,CNVD建议用户尽快升级新版本:

3.1官方升级

目前官方已在最新版本中修复了该漏洞,请受影响的用户尽快升级版本进行防护,官方下载链接:


版本号下载地址
Apache Tomcat 7.0.100http://tomcat.apache.org/download-70.cgi
Apache Tomcat 8.5.51http://tomcat.apache.org/download-80.cgi
Apache Tomcat 9.0.31http://tomcat.apache.org/download-90.cgi


3.2 采取临时缓解措施:

1.   如未使用Tomcat AJP协议:

如未使用 Tomcat AJP 协议,可以直接将 Tomcat 升级到 9.0.31、8.5.51或 7.0.100 版本进行漏洞修复。

如无法立即进行版本更新、或者是更老版本的用户,建议直接关闭AJPConnector,或将其监听地址改为仅监听本机localhost。

具体操作:

(1)编辑 <CATALINA_BASE>/conf/server.xml,找到如下行(<CATALINA_BASE> 为 Tomcat 的工作目录):

<Connector port=8009protocol=AJP/1.3 redirectPort=8443 />

(2)将此行注释掉(也可删掉该行):

<!--<Connectorport=8009 protocol=AJP/1.3redirectPort=8443 />-->

(3)保存后需重新启动,规则方可生效。

2.   如果使用了Tomcat AJP协议:

建议将Tomcat立即升级到9.0.31、8.5.51或7.0.100版本进行修复,同时为AJP Connector配置secret来设置AJP协议的认证凭证。例如(注意必须将YOUR_TOMCAT_AJP_SECRET更改为一个安全性高、无法被轻易猜解的值):

<Connector port=8009protocol=AJP/1.3 redirectPort=8443address=YOUR_TOMCAT_IP_ADDRESS secret=YOUR_TOMCAT_AJP_SECRET/>

如无法立即进行版本更新、或者是更老版本的用户,建议为AJPConnector配置requiredSecret来设置AJP协议认证凭证。例如(注意必须将YOUR_TOMCAT_AJP_SECRET更改为一个安全性高、无法被轻易猜解的值):

<Connector port=8009protocol=AJP/1.3 redirectPort=8443address=YOUR_TOMCAT_IP_ADDRESSrequiredSecret=YOUR_TOMCAT_AJP_SECRET />

 


 
浙江体彩网-首页_欢迎您好看的小说完本推荐 欢乐颂小说 玄幻小说完本 盗墓笔记 有声小说下载 大主宰之灵路天蚕土豆 完美世界txt下载 穿越小说排行榜 完美世界官网 盗墓笔记有声小说 <dl id="rdrp5"><del id="rdrp5"><th id="rdrp5"></th></del></dl>
<ruby id="rdrp5"><ins id="rdrp5"><cite id="rdrp5"></cite></ins></ruby>
<span id="rdrp5"><dl id="rdrp5"><del id="rdrp5"></del></dl></span>
<strike id="rdrp5"></strike>
<th id="rdrp5"><video id="rdrp5"><ruby id="rdrp5"></ruby></video></th>
<span id="rdrp5"></span>
<noframes id="rdrp5">
<ruby id="rdrp5"></ruby>