【漏洞公告】CVE-2017-12615/CVE-2017-12616:Tomcat信息泄漏和远程代码执行漏洞
2017年9月19日,Apache Tomcat官方确认并修复了两个高危漏洞,漏洞CVE编号:CVE-2017-12615和CVE-2017-12616,该漏洞受影响版本为7.0-7.80之间,在一定条件下,攻击者可以利用这两个漏洞,获取用户服务器上 JSP 文件的源代码,或是通过精心构造的攻击请求,向用户服务器上传恶意JSP文件,通过上传的 JSP 文件 ,可在用户服务器上执行任意代码,从而导致数据泄露或获取服务器权限,存在高安全风险。
漏洞编号:
CVE-2017-12615
CVE-2017-12616
漏洞名称:
CVE-2017-12615-远程代码执行漏洞
CVE-2017-12616-信息泄露漏洞
官方评级:
高危
漏洞描述:
CVE-2017-12616:信息泄露漏洞
当Tomcat中启用了 VirtualDirContext时,攻击者将能通过发送精心构造的恶意请求,绕过设置的相关安全限制,或是获取到由VirtualDirContext提供支持资源服务的JSP源代码,从而造成代码信息泄露。
CVE-2017-12615:远程代码执行漏洞
当 Tomcat运行在Windows操作系统时,且启用了HTTP PUT请求方法(例如,将 readonly 初始化参数由默认值设置为 false),攻击者将有可能可通过精心构造的攻击请求数据包向服务器上传包含任意代码的 JSP 文件,JSP文件中的恶意代码将能被服务器执行。导致服务器上的数据泄露或获取服务器权限。
通过以上两个漏洞可在用户服务器上执行任意代码,从而导致数据泄露或获取服务器权限,存在高安全风险。
漏洞利用条件和方式:
- CVE-2017-12615漏洞利用需要在Windows环境,且需要将 readonly 初始化参数由默认值设置为 false,经过实际测试,Tomcat 7.x版本内web.xml配置文件内默认配置无readonly参数,需要手工添加,默认配置条件下不受此漏洞影响。
- CVE-2017-12616漏洞需要在server.xml文件配置VirtualDirContext参数,经过实际测试,Tomcat 7.x版本内默认配置无VirtualDirContext参数,需要手工添加,默认配置条件下不受此漏洞影响。
漏洞影响范围:
- CVE-2017-12616影响范围:Apache Tomcat 7.0.0 - 7.0.80
- CVE-2017-12615影响范围: Apache Tomcat 7.0.0 - 7.0.79
漏洞检测:
开发人员检查是否使用受影响范围内的Apache Tomcat版本
漏洞修复建议(或缓解措施):
- 根据业务评估配置readonly和VirtualDirContext值为Ture或注释参数,临时规避安全风险;
- 目前官方已经发布了7.0.81版本修复了两个漏洞,建议用户尽快升级到最新版本。
情报来源:
- https://tomcat.apache.org/security-7.html
- http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81
最新文章
- NPOI 导入导出excel 支持 03 07
- 爹地,我找到了!,15个极好的Linux find命令示例
- C#学习笔记----C#中的闭包机制
- Codeforces Beta Round #95 (Div. 2) D.Subway
- ssh命令:使用密钥文件进行登陆
- android中PreferenceScreen类的用法
- java.util.concurrent.Exchanger应用范例与原理浅析--转载
- Oh, my goddess(bfs)
- POJ1664(整数划分)
- js鼠标移入移出事件会被子元素触发解决方法
- Objective-C Runtime 文档翻译
- Dynamics CRM2015 on-premises直接升级Dynamics CRM2016 on-premises
- IEDA序列化设置
- SpringBoot使用HttpClient远程调用
- poj2586 【贪心】
- Centos 7 下, 安装odoo 10
- Sword protobuf学习一
- easyui---基础组件:dialog
- iOS GameCenter 接入
- Qt 事件处理的五个层次
热门文章
- How to enable your website to public(set up your web server at home)
- VMware Workstation 12 Pro 之安装林耐斯优麒麟 X64-UI系统
- [2014-09-18]Entity Framework 6 预热、启动优化
- Ext.grid.EditorGridPanel联动设置单元格是否可以编辑和背景色
- postman 第5节 Runner的使用(转)
- 使用Jmeter进行http接口测试 ---------成都杀手
- 数据库学习任务四:数据读取器对象SqlDataReader、数据适配器对象SqlDataAdapter、数据集对象DataSet
- tkinter第四章 输入框,校对
- 201521123084 《Java程序设计》第11周学习总结
- 团队作业8——第二次项目冲刺(Beta阶段)--第三天