绿盟云

ApacheTomcat 文件包含漏洞

发布日期 2020-02-20

返回绿盟云官网

共有个网站提交检测，其中有个网站存在漏洞

不支持输入域名，请按照输入框提示格式输入。

受影响的版本:
Tomcat 6 (已不受维护)
Tomcat 7 Version < 7.0.100
Tomcat 8 Version < 8.5.51
Tomcat 9 Version < 9.0.31
不受影响的版本:
Tomcat 7 Version >= 7.0.100
Tomcat 8 Version >= 8.5.51
Tomcat 9 Version >= 9.0.31
综述:

2月20日，国家信息安全漏洞共享平台（CNVD）发布了一则关于Apache Tomcat存在文件包含漏洞的安全公告。

公告中表示，存在于Apache Tomcat中的文件包含漏洞（CNVD-2020-10487，对应CVE-2020-1938）可使攻击者在未授权的情况下远程读取特定目录下的任意文件。

漏洞源于Tomcat AJP协议实现中的缺陷，使得相关参数可控。攻击者通过向AJP协议端口（默认8009）发送精心构造的数据，可读取服务器webapp目录下的任意文件，比如配置文件、源代码等。而且如果服务器端有文件上传功能，那么攻击者还可能进一步实现远程代码的执行。

参考链接：

https://www.cnvd.org.cn/webinfo/show/5415
解决方案
Apache官方已经发布新版本修复了该漏洞，请受影响的用户尽快升级进行防护，无法立即进行更新的用户可参考 CNVD通告采取临时缓解措施。

新版本下载地址：

https://github.com/apache/tomcat/releases

http://tomcat.apache.org

CNVD通告：

https://www.cnvd.org.cn/webinfo/show/5415
绿盟科技安全通告链接
https://mp.weixin.qq.com/s/qIG_z9imxdLUobviSv7knw

立即检测