安全预警 | 知名 Web 应用服务器 Tomcat 信息泄漏和远程代码执行漏洞
2017年9月19日,腾讯云安全中心监测到 Apache Tomcat 修复了2个严重级别的漏洞, 分别为: 信息泄露漏洞(CVE-2017-12616)、远程代码执行漏洞(CVE-2017-12615),在某些场景下,攻击者将分别能通过这两个漏洞,获取用户服务器上 JSP 文件的源代码,或是通过精心构造的攻击请求,向用户服务器上传恶意 JSP 文件,通过上传的 JSP 文件 ,可在用户服务器上执行任意代码。
为避免您的服务器受影响,腾讯云安全提醒您注意及时开展安全自查以避免被恶意攻击者利用。
漏洞概述
信息泄露漏洞(CVE-2017-12616)
当 Tomcat 中使用了 VirtualDirContext 时,攻击者将能通过发送精心构造的恶意请求,绕过设置的相关安全限制,或是获取到由 VirtualDirContext 提供支持资源的 JSP 源代码。
远程代码执行漏洞(CVE-2017-12615)
当 Tomcat 运行在 Windows 主机上,且启用了 HTTP PUT 请求方法(例如,将 readonly 初始化参数由默认值设置为 false),攻击者将有可能可通过精心构造的攻击请求向服务器上传包含任意代码的 JSP 文件。之后,JSP 文件中的代码将能被服务器执行。
漏洞危害
泄露用户代码数据,或用户服务器被攻击者控制
影响版本
1、信息泄露漏洞(CVE-2017-12616)影响:Apache Tomcat 7.0.0 - 7.0.80
2、 远程代码执行漏洞(CVE-2017-12615)影响: Apache Tomcat 7.0.0 - 7.0.79
修复建议
升级至 Apache Tomcat 7.0.81 版本,详细参见官网:
http://tomcat.apache.org/download-70.cgi#7.0.81
参考链接
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81
http://www.openwall.com/lists/oss-security/2017/09/19/1
http://www.openwall.com/lists/oss-security/2017/09/19/2
腾讯云安全团队
2017-09-19
更多漏洞详情
长按上方二维码识别
保持关注
关注公众号:拾黑(shiheibook)了解更多
[广告]赞助链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/
随时掌握互联网精彩
- 1 全面深化改革开放 4983072
- 2 新生 烂尾 4998360
- 3 菏泽南站低俗直播被制止 4872725
- 4 不要小看这些零点几 4746973
- 5 成都警方再通报吉普车老太太事件 4663633
- 6 秋野地卡脖帐篷显示已售罄 4564733
- 7 斯洛伐克总理有生命危险 4433836
- 8 起猛了看到贝克汉姆养鸡 4316501
- 9 广西百色河水一夜变红?谣言 4207296
- 10 4人转运湿玉米时疑中毒身亡 4139528