安全预警 | 知名 Web 应用服务器 Tomcat 信息泄漏和远程代码执行漏洞
2017-09-20 01:23
931 查看
原文地址:https://mp.weixin.qq.com/s/RrD8e3mpl9oRgEaf1JKKdQ?client=tim&ptlang=2052&ADUIN=1835083655&ADSESSION=1505840723&ADTAG=CLIENT.QQ.5531_.0&ADPUBNO=26692
2017年9月19日,腾讯云安全中心监测到 Apache Tomcat 修复了2个严重级别的漏洞,
分别为: 信息泄露漏洞(CVE-2017-12616)、远程代码执行漏洞(CVE-2017-12615),在某些场景下,攻击者将分别能通过这两个漏洞,获取用户服务器上
JSP 文件的源代码,或是通过精心构造的攻击请求,向用户服务器上传恶意 JSP 文件,通过上传的 JSP 文件 ,可在用户服务器上执行任意代码。
为避免您的服务器受影响,腾讯云安全提醒您注意及时开展安全自查以避免被恶意攻击者利用。
漏洞概述
信息泄露漏洞(CVE-2017-12616)
当 Tomcat 中使用了 VirtualDirContext 时,攻击者将能通过发送精心构造的恶意请求,绕过设置的相关安全限制,或是获取到由 VirtualDirContext 提供支持资源的 JSP 源代码。
远程代码执行漏洞(CVE-2017-12615)
当 Tomcat 运行在 Windows 主机上,且启用了 HTTP PUT 请求方法(例如,将 readonly 初始化参数由默认值设置为 false),攻击者将有可能可通过精心构造的攻击请求向服务器上传包含任意代码的 JSP 文件。之后,JSP 文件中的代码将能被服务器执行。
漏洞危害
泄露用户代码数据,或用户服务器被攻击者控制
影响版本
1、信息泄露漏洞(CVE-2017-12616)影响:Apache Tomcat 7.0.0 - 7.0.80
2、 远程代码执行漏洞(CVE-2017-12615)影响: Apache Tomcat 7.0.0 - 7.0.79
修复建议
升级至 Apache Tomcat 7.0.81 版本,详细参见官网:
http://tomcat.apache.org/download-70.cgi#7.0.81
参考链接
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81 http://www.openwall.com/lists/oss-security/2017/09/19/1 http://www.openwall.com/lists/oss-security/2017/09/19/2
2017年9月19日,腾讯云安全中心监测到 Apache Tomcat 修复了2个严重级别的漏洞,
分别为: 信息泄露漏洞(CVE-2017-12616)、远程代码执行漏洞(CVE-2017-12615),在某些场景下,攻击者将分别能通过这两个漏洞,获取用户服务器上
JSP 文件的源代码,或是通过精心构造的攻击请求,向用户服务器上传恶意 JSP 文件,通过上传的 JSP 文件 ,可在用户服务器上执行任意代码。
为避免您的服务器受影响,腾讯云安全提醒您注意及时开展安全自查以避免被恶意攻击者利用。
漏洞概述
信息泄露漏洞(CVE-2017-12616)
当 Tomcat 中使用了 VirtualDirContext 时,攻击者将能通过发送精心构造的恶意请求,绕过设置的相关安全限制,或是获取到由 VirtualDirContext 提供支持资源的 JSP 源代码。
远程代码执行漏洞(CVE-2017-12615)
当 Tomcat 运行在 Windows 主机上,且启用了 HTTP PUT 请求方法(例如,将 readonly 初始化参数由默认值设置为 false),攻击者将有可能可通过精心构造的攻击请求向服务器上传包含任意代码的 JSP 文件。之后,JSP 文件中的代码将能被服务器执行。
漏洞危害
泄露用户代码数据,或用户服务器被攻击者控制
影响版本
1、信息泄露漏洞(CVE-2017-12616)影响:Apache Tomcat 7.0.0 - 7.0.80
2、 远程代码执行漏洞(CVE-2017-12615)影响: Apache Tomcat 7.0.0 - 7.0.79
修复建议
升级至 Apache Tomcat 7.0.81 版本,详细参见官网:
http://tomcat.apache.org/download-70.cgi#7.0.81
参考链接
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81 http://www.openwall.com/lists/oss-security/2017/09/19/1 http://www.openwall.com/lists/oss-security/2017/09/19/2
相关文章推荐
- 技术文章 | CVE-2017-12615/CVE-2017-12616:Tomcat信息泄漏和远程代码执行漏洞分析报告
- Android安全--webview远程代码执行漏洞
- Android静态安全检测 -> WebView组件远程代码执行漏洞检测
- android安全之webview远程代码执行漏洞
- struts2之高危远程代码执行漏洞,可造成服务器被入侵,下载最新版本进行修复
- Bash 远程任意代码执行安全漏洞(最严重漏洞)
- 关于Android中WebView远程代码执行漏洞浅析
- Memcached远程代码执行漏洞预警与检测修复
- 安卓WebView中接口隐患(远程代码执行漏洞)与手机挂马利用
- struts2之高危远程代码执行漏洞,可造成服务器被入侵,下载最新版本进行修复
- 安全专家发现Edge零日漏洞:可远程执行代码
- JSP多种web应用服务器导致JSP源码泄漏漏洞
- Bash 远程任意代码执行安全漏洞(最严重漏洞)
- Windows远程命令执行0day漏洞安全预警
- Android WebView远程代码执行漏洞简析
- Bash 远程任意代码执行安全漏洞(最严重漏洞)
- Bash 远程任意代码执行安全漏洞(最严重漏洞)
- JSP多种web应用服务器导致JSP源码泄漏漏洞
- Fastjson存在远程代码执行高危安全漏洞
- 游戏安全资讯精选 2018年第八期:3975款游戏被查处,游戏圈重击;Memcached被利用UDP反射攻击漏洞预警;VentureBeat称区块链或可定位和消除恶意可执行代码的安全问题