安全预警 | 知名 Web 应用服务器 Tomcat 信息泄漏和远程代码执行漏洞

2017年9月19日,腾讯云安全中心监测到  Apache Tomcat 修复了2个严重级别的漏洞, 分别为: 信息泄露漏洞(CVE-2017-12616)、远程代码执行漏洞(CVE-2017-12615),在某些场景下,攻击者将分别能通过这两个漏洞,获取用户服务器上 JSP 文件的源代码,或是通过精心构造的攻击请求,向用户服务器上传恶意 JSP 文件,通过上传的 JSP 文件 ,可在用户服务器上执行任意代码。

为避免您的服务器受影响,腾讯云安全提醒您注意及时开展安全自查以避免被恶意攻击者利用。

   漏洞概述   

 信息泄露漏洞(CVE-2017-12616)

当 Tomcat 中使用了 VirtualDirContext 时,攻击者将能通过发送精心构造的恶意请求,绕过设置的相关安全限制,或是获取到由 VirtualDirContext 提供支持资源的 JSP 源代码。

远程代码执行漏洞(CVE-2017-12615)

当 Tomcat 运行在 Windows 主机上,且启用了 HTTP PUT 请求方法(例如,将 readonly 初始化参数由默认值设置为 false),攻击者将有可能可通过精心构造的攻击请求向服务器上传包含任意代码的 JSP 文件。之后,JSP 文件中的代码将能被服务器执行。

漏洞危害

泄露用户代码数据,或用户服务器被攻击者控制

影响版本

1、信息泄露漏洞(CVE-2017-12616)影响:Apache Tomcat 7.0.0 - 7.0.80

2、 远程代码执行漏洞(CVE-2017-12615)影响: Apache Tomcat 7.0.0 - 7.0.79

修复建议

升级至 Apache Tomcat 7.0.81 版本,详细参见官网:

http://tomcat.apache.org/download-70.cgi#7.0.81

参考链接

  1. ‍http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81
  2. http://www.openwall.com/lists/oss-security/2017/09/19/1
  3. http://www.openwall.com/lists/oss-security/2017/09/19/2‍

腾讯云安全团队

2017-09-19

原文发布于微信公众号 - 腾讯云安全(TencentCloudSecurity)

原文发表时间:2017-09-20

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏区块链

XSS攻击入门

反射性XSS XSS又叫CSS(Cross Site Script)跨站脚本攻击。它指的是恶意攻击者往Web页面TM入恶意代码,当用户浏览该页之时。嵌入其中We...

2325
来自专栏FreeBuf

BackdoorMan,帮你找到系统中的后门文件

BackdoorMan是一款采用Python语言开发的开源工具,它可以帮助你找出系统中的恶意文件、隐藏的PHP脚本以及可疑的Shell脚本。你可以在Backdo...

18210
来自专栏bboysoul

在自己的网站上嵌入挖矿脚本

说实在的使用谷歌广告赚钱真的是太慢了,一个网站我苦心经营那么长时间得到的回报是0,这就有点过分了,不过最近网页使用js挖矿很流行,我们为什么不使用这个来得到点回...

551
来自专栏瞎说开发那些事

linux下利用一次性口令实现 安全管理

1896
来自专栏安恒信息

安全预警 | LNK漏洞(CVE-2017-8464)利用工具已被公开,可能用于APT攻击

近日, GitHub上公开了CVE-2017-8464漏洞的metasploit-framework利用模块。根据测试记录,利用模块在Windows 10 x6...

2889
来自专栏ChaMd5安全团队

CVE-2017-0199:Microsoft Office RTF 漏洞利用指南

CVE-2017-0199:Microsoft Office RTF 漏洞利用指南 From ChaMd5安全团队核心成员 zusheng 一、介绍 Fire...

38911
来自专栏py+selenium

(CVE-2017-10271)weblogic12.1.3.0漏洞测试与打补丁过程

网上各种转来转去,参差不齐,好多说什么用bsu去打补丁,他们有些不知道,12.1.2后的版本都没有bsu这玩意了,打补丁要用opatch去打!

1462
来自专栏玄魂工作室

CTF实战6 自动化Web安全测试工具

为什么要介绍这个呢,你可能会问,什么某明某0的扫描器多的是,比这个好多了,为啥要说这个

702
来自专栏二次元

程序员日常中病毒系列

事情是这样的,一朋友发来源码让我看下,手残不小心点到里头的一个exe文件,弹出联网请求,我便迅速关掉,之后发现同目录多了一个伪装成系统音乐文件夹的exe可执行...

1040
来自专栏SAP最佳业务实践

SAP最佳业务实践:FI–总账(156)-4更改

4.4 FAGLL03显示并更改行项目 显示并更改总帐科目中的行项目。 已在定制中维护行布局变量、总计变量和选择字段。 角色:总帐会计 1. 在 总帐科...

3264

扫码关注云+社区