病毒预警

Apache Tomcat绕过漏洞预警

2018-03-06 17:28来源:作者:点击:


安全漏洞

2018年2月23日,Apache为Tomcat发布了一个安全公告,其中有两个安全限制可以绕过漏洞:

http://tomcat.apache.org/security-7.html

http://tomcat.apache.org/security-8.html

http://tomcat.apache.org/security-9.html

对应于CVE:CVE-2018-1305,CVE-2018-1304

根据公告,该漏洞存在于版本7. *到9. *。易受攻击的系统面临被恶意攻击者访问目标系统表面上受限制的Web应用程序资源的可能性,这直接影响系统的安全性。升级安全更新修补程序。

漏洞分析

该漏洞主要是由于Tomcat实现的安全约束注释实现为时已晚,并且忽略了到上下文根的映射,这可能导致恶意用户绕过安全限制来访问目标系统上的受限Web应用程序资源表面。

漏洞利用

通过此漏洞,恶意用户可能能够访问目标网站上的Web应用程序资源,例如安全配置文件。

影响范围

以下版本受到影响:

9. *版本(9.0.0.M1至9.0.4)

8. *版本(8.5.0至8.5.27,8.0.0.RC1至8.0.49)

7. *版本(7.0.0至7.0.84)

目前,已下载官方安全更新版本(错误修复版本):

9. *版本(9.0.5之后发布)

8. *版本(8.5.28及更高版本)

8. *版本(8.0.50及更高版本)

7. *版本(7.0.85及更高版本)

https://tomcat.apache.org/download-70.cgi

https://tomcat.apache.org/download-80.cgi

https://tomcat.apache.org/download-90.cgi

威胁等级

高风险:当前漏洞详细信息和测试代码尚未公布,但建议及时升级安全更新版本,或部署安全设备(如WAF)以监控漏洞利用。

安全建议

Apache Tomcat在其历史上报告了许多安全漏洞。建议使用此产品的企业通过部署安全设备来保护其防御并注意安全更新公告。

参考文档

https://lists.apache.org/thread.html/d3354bb0a4eda4acc0a66f3eb24a213fdb75d12c7d16060b23e65781@%3Cannounce.tomcat.apache.org%3E



下一条:澳门皇冠投注:Bad Rabbit勒索软件情况的预警通报

关闭