Apache Tomcat服务器文件包含漏洞附poc

  • 内容
  • 相关

0x01前言

Apache Tomcat 是一个免费的开源 Web 应用服务器,在中小型企业和个人开发用户中有着广泛的应用。

0x02漏洞详情

由于Tomcat默认开启的AJP服务(8009端口)存在一处文件包含缺陷,攻击者可构造恶意的请求包进行文件包含操作,进而读取受影响Tomcat服务器上的Web目录文件。

0x03漏洞编号

CVE-2020-1938 

CNVD-2020-10487

0x04影响版本

Apache Tomcat 6

Apache Tomcat 7 < 7.0.100

Apache Tomcat 8 < 8.5.51

Apache Tomcat 9 < 9.0.31

0x05漏洞验证

0x06修复建议

目前厂商已经提供相关漏洞补丁链接,

Apache Tomcat 7.*分支建议更新到 7.0.100 版本;

Apache Tomcat 8.*分支建议更新到 8.5.51 版本;

Apache Tomcat 9.*分支建议更新到 9.0.31版本。

Apache Tomcat 6 已经停止维护,请升级到最新受支持的 Tomcat 版本以免遭受漏洞影响。

下载地址:

https://tomcat.apache.org/download-70.cgi

https://tomcat.apache.org/download-80.cgi

https://tomcat.apache.org/download-90.cgi

或 Github 下载:

https://github.com/apache/tomcat/releases

临时缓解建议:

临时禁用AJP协议端口,在conf/server.xml配置文件中注释掉

0x07 POC自取

GitHub:https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi/

本文标签:

版权声明:若无特殊注明,本文皆为《舜哥哥吖》原创,转载请保留文章出处。

本文链接:Apache Tomcat服务器文件包含漏洞附poc - https://www.shungg.cn/post/290

发表评论

电子邮件地址不会被公开。 必填项已用*标注