tomcat ajp协议安全限制绕过漏洞_未然公告 | Apache Tomcat AJP CVE20201938漏洞防御指导...

Apache Tomcat发布了安全补丁，修补了一个AJP相关的严重漏洞，编号为CVE-2020-1983。Tomcat是目前比较流行的Web应用服务器，其中AJP协议实现存在任意文件读取漏洞。当前公开利用代码已经在互联网发布，存在较高的攻击风险，请涉及的客户及时更新相关补丁或者采取防范措施。

漏洞影响

攻击者通过该漏洞能够达成以下攻击效果：

- 读取webapp下任意文件。

- 如果服务器端同时存在文件上传漏洞，可能会导致进一步的远程代码执行攻击。

受影响版本

已经确认受影响的版本：

- Tomcat 6

- Tomcat 7

- Tomcat 8

- Tomcat 9

未然建议

华为在监控到该漏洞信息以后，安全研究人员持续关注此漏洞相关信息，并立即开发IPS防护签名。目前最新IPS签名库已推送到升级网站，可供客户升级使用。

☝? 未然实验室致各厂商建议

如未使用TomcatAJP协议

可直接将 Tomcat 升级到 9.0.31、8.5.51或7.0.100 版本进行漏洞修复。 安装厂商的补丁，补丁下载链接如下： https://tomcat.apache.org/   如无法立即进行版本更新、或者是更老版本的用户，建议直接关闭AJPConnector，或将其监听地址改为仅监听本机localhost。  

具体操作

1-编辑/conf/server.xml，找到如下行 ( 为 Tomcat 的工作目录)：  2-将此行注释掉(也可删掉该行)：  3-保存后需重新启动，规则方可生效。  

如果使用了Tomcat AJP协议

建议将Tomcat立即升级到9.0.31、8.5.51或7.0.100版本进行修复，同时为AJP Connector配置secret来设置AJP协议的认证凭证。 例如(注意必须将YOUR_TOMCAT_AJP_SECRET更改为一个安全性高、无法被轻易猜解的值)：     如无法立即进行版本更新、或者是更老版本的用户，建议为AJPConnector配置requiredSecret来设置AJP协议认证凭证。 例如(注意必须将YOUR_TOMCAT_AJP_SECRET更改为一个安全性高、无法被轻易猜解的值)：    

其他参考

https://tomcat.apache.org/ https://www.cnvd.org.cn/webinfo/show/5415

2020年

让我一直保护你

↓↓↓