专栏首页安恒信息【漏洞公告】Tomcat信息泄漏和远程代码执行漏洞【高危】

【漏洞公告】Tomcat信息泄漏和远程代码执行漏洞【高危】

2017年9月19日,Apache Tomcat官方确认并修复了两个高危漏洞,漏洞CVE编号:CVE-2017-12615和CVE-2017-12616,该漏洞受影响版本为7.0-7.80之间,在一定条件下,攻击者可以利用这两个漏洞,获取用户服务器上 JSP 文件的源代码,或是通过精心构造的攻击请求,向用户服务器上传恶意JSP文件,通过上传的 JSP 文件 ,可在用户服务器上执行任意代码,从而导致数据泄露或获取服务器权限,存在高安全风险。

漏洞编号:

CVE-2017-12615

CVE-2017-12616

漏洞名称:

CVE-2017-12615-远程代码执行漏洞

CVE-2017-12616-信息泄露漏洞

官方评级:高危

漏洞描述:

  • CVE-2017-12616:信息泄露漏洞 当Tomcat中启用了 VirtualDirContext时,攻击者将能通过发送精心构造的恶意请求,绕过设置的相关安全限制,或是获取到由VirtualDirContext提供支持资源服务的JSP源代码,从而造成代码信息泄露。
  • CVE-2017-12615:远程代码执行漏洞 当 Tomcat运行在Windows操作系统时,且启用了HTTP PUT请求方法(例如,将 readonly 初始化参数由默认值设置为 false),攻击者将有可能可通过精心构造的攻击请求数据包向服务器上传包含任意代码的 JSP 文件,JSP文件中的恶意代码将能被服务器执行。导致服务器上的数据泄露或获取服务器权限。

通过以上两个漏洞可在用户服务器上执行任意代码,从而导致数据泄露或获取服务器权限,存在高安全风险。

漏洞利用条件和方式:

  • CVE-2017-12615漏洞利用需要在Windows环境,且需要将 readonly 初始化参数由默认值设置为 false,经过实际测试,Tomcat 7.x版本内web.xml配置文件内默认配置无readonly参数,需要手工添加,默认配置条件下不受此漏洞影响。
  • CVE-2017-12616漏洞需要在server.xml文件配置VirtualDirContext参数,经过实际测试,Tomcat 7.x版本内默认配置无VirtualDirContext参数,需要手工添加,默认配置条件下不受此漏洞影响。

漏洞影响范围:

  • CVE-2017-12616影响范围:Apache Tomcat 7.0.0 - 7.0.80
  • CVE-2017-12615影响范围: Apache Tomcat 7.0.0 - 7.0.79

漏洞检测:

开发人员检查是否使用受影响范围内的Apache Tomcat版本

漏洞修复建议(或缓解措施)::

  • 根据业务评估配置readonly和VirtualDirContext值为Ture或注释参数,禁用PUT方法并重启tomcat,临时规避安全风险;注意: 如果禁用PUT方法,对于依赖PUT方法的应用,可能导致业务失效。
  • 目前官方已经发布了7.0.81版本修复了两个漏洞,建议用户尽快升级到最新版本;
  • 可以选用安恒信息WEB应用防火墙进行防御。

情报来源:

  • https://tomcat.apache.org/security-7.html
  • http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81

- END -

本文分享自微信公众号 - 安恒信息(DBAPP2013)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2017-09-20

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 揭秘:黑客利用Couchdb数据库中漏洞植入挖矿程序

    我们捕获了利用Couchdb权限绕过漏洞的攻击行为,攻击者通过创建管理员帐户,之后利用Couchdb任意命令执行漏洞执行下载恶意脚本,植入挖矿恶意程序。

    安恒信息
  • 安全漏洞公告

    1 Apache Tomcat XML外部实体信息泄露漏洞 Apache Tomcat XML外部实体信息泄露漏洞发布时间:2014-02-26漏洞编号:BUG...

    安恒信息
  • 信息安全通报第49期

    2017年第49期安全通报 1数据看安全 国家信息安全漏洞共享平台本周共收集、整理信息安全漏洞440个,其中高危漏洞194个、中危漏洞202个、低危漏洞44个。...

    安恒信息
  • 安全漏洞公告

    1 Apache Tomcat XML外部实体信息泄露漏洞 Apache Tomcat XML外部实体信息泄露漏洞发布时间:2014-02-26漏洞编号:BUG...

    安恒信息
  • 大数据技术之_08_Hive学习_03_查询+函数

    https://cwiki.apache.org/confluence/display/Hive/LanguageManual+Select 查询语句语法:

    黑泽君
  • MySQL手工暴库语句

    本期给大家整理了一下手工的爆库语句,虽然没有sqlmap那么好,但是在特定的情况下还是很有用,大家可以收藏作为一个笔记使用。

    网e渗透安全部
  • Python | 拥有选择权 ,才拥有概率 。

    说三门问题之前 ,先来说点类似的 。假如三个盒子里各有一个球 ,一次选择机会摸奖 。你摸到了球 ,就奖励你一个 脱发再续膏 ,解决程序员秃头烦恼 。如果没摸到 ...

    小小詹同学
  • Apache Hive With

    一般情况,with 查询用到多次情况下,在引用select语句之前定义,同级只能定义with关键字只能使用一次,多个用逗号分割。

    DataScience
  • Oracle 闪回特性(Flashback Query、Flashback Table)

    --==================================================

    Leshami
  • GitHub 2017年支付漏洞赏金100多万元,超出去年一倍多

    程序员最爱的 GitHub 在 2014 年开展了一项为期 4 年的漏洞奖励计划,到 2017 年已经是第四年。这四年间,累计发放的漏洞赏金约 35 万美元(按...

    FB客服

扫码关注云+社区

领取腾讯云代金券