Apache Tomcat远程代码执行漏洞预警(CVE-2020-9484)

举报
华为云客户服务中心 发表于 2020/05/21 11:02:13 2020/05/21
【摘要】 Apache Tomcat远程代码执行漏洞预警(CVE-2020-9484)

一、概要

近日,华为云关注到Apache Tomcat官方发布安全公告,披露一处反序列化远程代码执行漏洞(CVE-2020-9484)。在满足特定条件下,攻击者通过特制的请求来触发远程代码执行。

华为云提醒使用Apache Tomcat的用户及时安排自检并做好安全加固。

参考链接:https://www.openwall.com/lists/oss-security/2020/05/20/4

二、威胁级别

威胁级别:【严重】

(说明:威胁级别共四级:一般、重要、严重、紧急)

三、漏洞影响范围

影响版本:

Apache Tomcat 10.0.0-M1 ~ 10.0.0-M4

Apache Tomcat 9.0.0.M1 ~ 9.0.34

Apache Tomcat 8.5.0 ~ 8.5.54

Apache Tomcat 7.0.0 ~ 7.0.103

安全版本:

Apache Tomcat >= 10.0.0-M5

Apache Tomcat >= 9.0.35

Apache Tomcat >= 8.5.55

Apache Tomcat >= 7.0.104

四、漏洞排查及处置

在同时满足以下条件时,漏洞可被成功利用:

a)攻击者能够控制服务器上文件的内容和名称;

b)服务器启用了Tomcat会话复制功能,使用了会话持久性,并将会话保存到共享文件系统(PersistenceManager + FileStore);

c) PersistenceManager配置有sessionAttributeValueClassNameFilter =“ null”(除非使用SecurityManager,否则为默认值)或足够松散的过滤器,允许攻击者提供反序列化数据对象;

d) 攻击者知道使用的FileStore存储位置到可控文件的相对文件路径。

目前,官方已在新版本中修复了该漏洞,请受影响的用户升级到安全版本或配置为sessionAttributeValueClassNameFilter 带有适当值的PersistenceManager,以确保仅对应用程序提供的属性进行序列化和反序列化。

注:修复漏洞前请将资料备份,并进行充分测试。


【版权声明】本文为华为云社区用户原创内容,未经允许不得转载,如需转载请自行联系原作者进行授权。如果您发现本社区中有涉嫌抄袭的内容,欢迎发送邮件进行举报,并提供相关证据,一经查实,本社区将立刻删除涉嫌侵权内容,举报邮箱: cloudbbs@huaweicloud.com
  • 点赞
  • 收藏
  • 关注作者

评论(0

0/1000
抱歉,系统识别当前为高风险访问,暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称,即可参与社区互动!

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。