CEV-2018-11759访问控制绕过原理和复现（实战）

原理：
Apache Web服务器(httpd)特定的代码在将请求的路径与Apache Tomcat JK (mod_jk)连接器1.2.0到1.2.44中的URI-工作器映射进行匹配之前对其进行了规范化，但没有正确处理某些边缘情况。如果只有Tomcat支持的网址子集通过httpd公开，那么一个特殊构造的请求就有可能通过反向代理公开应用程序的功能，而该反向代理不是为通过反向代理访问应用程序的客户端设计的。在某些配置中，特殊构造的请求也可能绕过httpd中配置的访问控制。
影响版本：
Apache mod_jk Connector 1.2.0 ~ 1.2.44。
漏洞评级：
高危。
漏洞验证：
1.访问http://xxx.xxx.x.xxx/jkstatus,出现无权限访问的页面。

2.在/jkstatus后面加上“;”，再次访问，发现成功绕过访问控制权限。
修复建议：
升级补丁。