文件包含漏洞_Apache Tomcat 文件包含漏洞

(CVE-2020-1938)

前言：

2020年2月20日，国家信息安全漏洞共享平台(CNVD)发布了Apache Tomcat文件包含漏洞(CNVD-2020-10487/CVE-2020-1938)。该漏洞是由于Tomcat AJP协议存在缺陷而导致，攻击者利用该漏洞可通过构造特定参数，读取服务器webapp下的任意文件。若目标服务器同时存在文件上传功能，攻击者可进一步实现远程代码执行。目前，厂商已发布新版本完成漏洞修复。

https://www.cnvd.org.cn/

漏洞描述：

Apache Tomca开启了AJP Connector，在处理ajp协议时存在问题，可以对web目录下的文件进行读取，也可包含其他文件。

漏洞复现：

poc下载地址

https://github.com/bkfish/CNVD-2020-10487-Tomcat-Ajp-lfi-Scanner

查看WEB-INF/web.xml。

python2.7 CVE-2020-1938.py IP (-p port -f file) 可选项

影响版本：

Apache Tomcat	9.x < 9.0.31
Apache Tomcat	8.x < 8.5.51
Apache Tomcat	7.x < 7.0.100
Apache Tomcat	6.x

修复建议：

将Tomcat立即升级到9.0.31、8.5.51或7.0.100版本进行修复。

禁用AJP协议。