CVE-2020-1938漏洞复现

CVE-2020-1938漏洞复现

详细描述：

Apache Tomcat服务器存在文件包含漏洞，攻击者可利用该漏洞读取或包含Tomcat上所有webapp目录下的任意文件，如: webapp配置文件或源代码等。若目标服务器同时存在文件上传功能，攻击者可进一步实现远程代码执行。

漏洞介绍：

2020年1月6日，国家信息安全漏洞共享平台（CNVD） 发布了Apache Tomcat文件包含漏洞（CNVD-2020-10487，对应CVE-2020-1938）。 该漏洞是由于Tomcat AJP协议存在缺陷而导致，攻击者利用该漏洞可通过构造特定参数，读取服务器webapp下的任意文件。若目标服务器同时存在文件上传功能，攻击者可进一步实现远程代码执行。利用方式属于文件包含漏洞。CNVD对该漏洞的综合评级为“高危”。目前，厂商已发布新版本完成漏洞修复。
 

影响版本：

受影响版本

Apache Tomcat 6
Apache Tomcat 7 < 7.0.10
Apache Tomcat 8 < 8.5.51
Apache Tomcat 9 < 9.0.31

漏洞复现：

poc下载地址：

GitHub地址: https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi

确保8009和8080端口开启

 

成功读取的是apache-tomcat-8.5.50/webapps/ROOT/WEB-INF /web.xml文件
python CNVD-2020-10487-Tomcat-Ajp-lfi.py 10.xX.XX.XX -p 8009 -f WEB-INF/web.xml

漏洞修护：

1、目前，Apache官方已发布9.0.31、8.5.51及7.0.100版本对此漏洞进行修复，CNVD建议用户尽快升级新版本或采取临时缓解措施：

 2、如未使用 Tomcat AJP 协议，可以直接将 Tomcat 升级到 9.0.31、8.5.51或 7.0.100 版本进行漏洞修复。如无法立即进行版本更新、或者是更老版本的用户，建议直接关闭AJPConnector，或将其监听地址改为仅监听本机localhost。

3、建议将Tomcat立即升级到9.0.31、8.5.51或7.0.100版本进行修复，同时为AJP Connector配置secret来设置AJP协议的认证凭证。