Tomcat Session(CVE-2020-9484)反序列化

东塔网络安全学院

于 2020-08-01 16:39:20 发布

阅读量1.1k

点赞数

分类专栏：漏洞复现文章标签：安全

本文链接：https://blog.csdn.net/m0_48520508/article/details/107732362

版权

本文介绍了Apache Tomcat的CVE-2020-9484反序列化漏洞，详细阐述了漏洞影响版本、漏洞成因、攻击条件，以及环境搭建和漏洞复现过程。修复方案包括升级Tomcat版本、配置WAF或避免使用FileStore。

摘要由CSDN通过智能技术生成

0x01简介

Apache Tomcat最早是由Sun Microsystems开发的一个Servlet容器，在1999年被捐献给ASF（Apache Software Foundation），隶属于Jakarta项目，现在已经独立为一个顶级项目。Tomcat主要实现了Java EE中的Servlet、JSP规范，同时也提供HTTP服务，是市场上非常流行的Java Web容器。
Tomcat 服务器是一个免费的开放源代码的Web 应用服务器，属于轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。对于一个初学者来说，可以这样认为，当在一台机器上配置好Apache 服务器，可利用它响应HTML（标准通用标记语言下的一个应用）页面的访问请求。实际上Tomcat是Apache 服务器的扩展，但运行时它是独立运行的，所以当你运行tomcat 时，它实际上作为一个与Apache 独立的进程单独运行的。
在这里插入图片描述

0x02漏洞介绍

北京时间2020年05月20日，Apache官方发布了 Apache Tomcat 远程代码执行的风险通告，该漏洞编号为 CVE-2020-9484。

Apache Tomcat 是一个开放源代码、运行servlet和JSP Web应用软件的基于Java的Web应用软件容器。当Tomcat使用了自带session同步功能时，使用不安全的配置（没有使用EncryptInterceptor）会存在反序列化漏洞，攻击者通过精心构造的数据包，可以对使用了自带session同步功能的Tomcat服务器进行攻击。
成功利用此漏洞需要同时满足以下4个条件:
1.攻击者能够控制服务器上文件的内容和文件名称
2.服务器PersistenceManager配置中使用了FileStore
3.PersistenceManager中的sessionAttributeValueClassNameFilter被配置为“null”，或者过滤器不够严格，导致允许攻击者提供反序列化数据的对象
4.攻击者知道使用的FileStore存储位置到攻击者可控文件的相对路径