Tomcat服务文件包含漏洞

一、漏洞信息描述

二、漏洞分析

       2020年1月6日，国家信息安全漏洞共享平台（CNVD）收录了由北京长亭科技有限公司发现并报送的Apache Tomcat文件包含漏洞。Tomcat AJP协议由于存在实现缺陷导致相关参数可控，攻击者利用该漏洞可通过构造特定参数，读取服务器webapp下的任意文件。若服务器端同时存在文件上传功能，攻击者可进一步实现远程代码的执行。CNVD对该漏洞的综合评级为“高危”。

三、漏洞影响的产品版本包括

Tomcat 6
Tomcat 7
Tomcat 8
Tomcat 9

三、漏洞处置建议

目前，Apache官方已发布9.0.31、8.5.51及7.0.100版本对此漏洞进行修复，CNVD建议用户尽快升级新版本或采取临时缓解措施：

1、如未使用Tomcat AJP协议：

可以直接将 Tomcat 升级到 9.0.31、8.5.51或 7.0.100 版本进行漏洞修复。网址：http://tomcat.apache.org/    

如无法立即进行版本更新、或者是更老版本的用户，建议直接关闭AJPConnector，或将其监听地址改为仅监听本机localhost。(攻击者利用的是 AJP:8009端口进行攻击，所以最简单粗暴的解决办法就是将 Tomcat 的 AJP 禁用掉)

将以下代码注释/删除：别忘了重启Tomcat

2、如果使用了Tomcat AJP协议：

   建议将Tomcat立即升级到9.0.31、8.5.51或7.0.100版本进行修复，同时为 AJP Connector配置secret来设置AJP协议的认证凭证。【必须将YOUR_TOMCAT_AJP_SECRET更改为一个安全性高、无法被轻易猜解的值】：
<Connector port="8009"  protocol="AJP/1.3"  redirectPort="8443"  address="YOUR_TOMCAT_IP_ADDRESS" secret="YOUR_TOMCAT_AJP_SECRET"/>
如无法立即进行版本更新、或者是更老版本的用户，建议为AJPConnector配置requiredSecret来设置AJP协议认证凭证。

【必须将YOUR_TOMCAT_AJP_SECRET更改为一个安全性高、无法被轻易猜解的值】
<Connector port="8009"  protocol="AJP/1.3" redirectPort="8443"  address="YOUR_TOMCAT_IP_ADDRESS"  requiredSecret="YOUR_TOMCAT_AJP_SECRET" />