(CVE-2020-1938)
前言:
2020年2月20日,国家信息安全漏洞共享平台(CNVD)发布了Apache Tomcat文件包含漏洞(CNVD-2020-10487/CVE-2020-1938)。该漏洞是由于Tomcat AJP协议存在缺陷而导致,攻击者利用该漏洞可通过构造特定参数,读取服务器webapp下的任意文件。若目标服务器同时存在文件上传功能,攻击者可进一步实现远程代码执行。目前,厂商已发布新版本完成漏洞修复。
https://www.cnvd.org.cn/
漏洞描述:
Apache Tomca开启了AJP Connector,在处理ajp协议时存在问题,可以对web目录下的文件进行读取,也可包含其他文件。
漏洞复现:
poc下载地址
https://github.com/bkfish/CNVD-2020-10487-Tomcat-Ajp-lfi-Scanner
查看WEB-INF/web.xml。
python2.7 CVE-2020-1938.py IP (-p port -f file) 可选项
影响版本:
Apache Tomcat | 9.x < 9.0.31 |
Apache Tomcat | 8.x < 8.5.51 |
Apache Tomcat | 7.x < 7.0.100 |
Apache Tomcat | 6.x |
修复建议:
将Tomcat立即升级到9.0.31、8.5.51或7.0.100版本进行修复。
禁用AJP协议。