tomcat ajp协议安全限制绕过漏洞_Apache Tomcat存在文件包含漏洞

网安引领时代，弥天点亮未来   

Tomcat简介

Tomcat是Apache软件基金会Jakarta项目中的一个核心项目，作为目前比较流行的Web应用服务器，深受Java爱好者的喜爱，并得到了部分软件开发商的认可。Tomcat服务器是一个免费的开放源代码的Web应用服务器，被普遍使用在轻量级Web应用服务的构架中。

近日，互联网曝光Apache Tomcat服务器中被发现存在文件包含漏洞，攻击者可利用该漏洞读取或包含 Tomcat 上所有 webapp 目录下的任意文件。该漏洞危害程度为严重(critical)。目前，Apache官方已发布9.0.31、8.5.51及7.0.100版本对此漏洞进行修复，建议用户尽快升级到安全版本。

影响版本  

   Tomcat 6.*

   Tomcat 7.* < 7.0.100

   Tomcat 8.* < 8.5.51

   Tomcat 9.* < 9.0.31

漏洞编号  

    CNVD-2020-10487

    CVE-2020-1938

漏洞利用  

使用exp进行利用

python CNVD-2020-10487-Tomcat-Ajp-lfi.py ip -p 8009 -f /WEB-INF/web.xml

修复建议  

目前官方已在最新版本中修复了该漏洞，用户可通过版本升级进行防护。

官方下载链接

版本号	下载地址
Apache Tomcat 7.0.100	http://tomcat.apache.org/download-70.cgi
Apache Tomcat 8.5.51	http://tomcat.apache.org/download-80.cgi
Apache Tomcat 9.0.31	http://tomcat.apache.org/download-90.cgi

如果相关用户暂时无法进行版本升级，可根据自身情况采用下列防护措施。

如未使用Tomcat AJP协议：

若不需要使用Tomcat AJP协议，可直接关闭AJP Connector，或将其监听地址改为仅监听本机localhost。

具体操作如下：

(1)编辑 

/conf/server.xml

找到如下行( 为 Tomcat 的工作目录)：

<Connector port=”8009″protocol=”AJP/1.3″ redirectPort=”8443″ />

(2)将此行注释掉(也可删掉该行)：

Connectorport=”8009″ protocol=”AJP/1.3″redirectPort=”8443″ />–>

(3)保存后需重新启动Tomcat，规则方可生效。

如果使用了Tomcat AJP协议：

若使用Tomcat AJP协议，可为AJP Connector配置secret来设置 AJP 协议的认证凭证，且注意口令强度

参考链接

• https://www.freebuf.com/company-information/227961.html

• https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi/

• https://www.cnvd.org.cn/flaw/show/CNVD-2020-10487

 

知识分享完了

喜欢别忘了关注我们哦~

予以风动，必降弥天之润！

   弥  天

安全实验室