手机版
你好,游客 登录 注册 搜索
背景:
阅读新闻

Apache Tomcat安全绕过漏洞(CVE-2018-1305)

[日期:2018-03-05] 来源:Linux社区  作者:Linux [字体: ]
Apache Tomcat安全绕过漏洞(CVE-2018-1305)


发布日期:2018-02-23
更新日期:2018-03-05

受影响系统:

Apache Group Tomcat 9.0.0.M1-9.0.4
Apache Group Tomcat 8.5.0-8.5.27
Apache Group Tomcat 8.0.0.RC1-8.0.49
Apache Group Tomcat 7.0.0-7.0.84

描述:


BUGTRAQ  ID: 103144
CVE(CAN) ID: CVE-2018-1305

Apache Tomcat是一个流行的开源JSP应用服务器程序。

Apache Tomcat 7、8、9多个版本存在安全绕过漏洞。攻击者可以利用这个问题,绕过某些安全限制来执行未经授权的操作,这可能有助于进一步攻击。

<*来源:vendor
 
  链接:https://securitytracker.com/id/1040428
        http://blog.nsfocus.net/cve-2018-130-handling/
*>

建议:


临时解决方法:

如果您不能立刻安装补丁或者升级,NSFOCUS建议您采取以下措施以降低威胁:

*触发该漏洞的前提条件是在启动tomcat后,访问父路径“/servlet1”之前,先访问了子路径“/servlet1/servlet2”,从而导致对servlet1的ACL保护没有被servlet2继承,如果先访问了servlet1,Tomcat会加载ACL并对servlet2进行保护。结合该漏洞的特点,可以手动访问一次“/servlet1”强制Tomcat加载ACL,只要Tomcat不重启,ACL保护会一直生效。
请相关用户结合各自业务系统的具体功能,评估父路径“/servlet1”是否可以手动访问后再进行操作,有关该漏洞的详细信息可参考“绿盟科技博客”。

厂商补丁:

Apache Group
------------
Apache官方在新版本Apache Tomcat 9.0.5、8.5.28、8.0.50、7.0.85中修复了该漏洞,请受影响的用户尽快升级,最新版下载链接可参考以下列表,可根据具体的系统环境下载对应的安装包:

版本
下载链接
Apache Tomcat 9.0.5
https://tomcat.apache.org/download-90.cgi

Apache Tomcat 8.5.28
https://tomcat.apache.org/download-80.cgi

Apache Tomcat 8.0.50
https://tomcat.apache.org/download-80.cgi

Apache Tomcat 7.0.85
https://tomcat.apache.org/download-70.cgi

注意:建议用户在升级之前,做好数据和运行环境的备份工作,防止升级带来系统不可用的风险。

本文永久更新链接地址https://www.linuxidc.com/Linux/2018-03/151205.htm

linux
相关资讯       Tomcat漏洞 
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数

       

评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款