设为首页收藏本站在线订餐房产交易查询 繁体中文
开启辅助访问

温尼伯站

 找回密码
 注册用户
搜索
热搜: 接送 租房
温尼伯站»论坛 › 温尼伯站 › 资讯信息 › 国家信息安全漏洞共享平台发布Apache
返回列表 发新帖
查看: 128|回复: 0
上一主题 下一主题

[综合资讯] 国家信息安全漏洞共享平台发布Apache

[复制链接]
温尼伯站

14万

主题

14万

帖子

29万

积分

管理员

有bug，有问题请私信。

Rank: 9Rank: 9Rank: 9

积分
290469
跳转到指定楼层
楼主
发表于 2020-2-21 22:17:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
2月22日消息 国家信息安全漏洞共享平台（CNVD）近日发布了一份关于 Apache Tomcat 存在文件包含漏洞的安全公告，具体如下：  



  



安全公告编号：CNTA-2020-0004  

2020 年 1 月 6 日，国家信息安全漏洞共享平台（CNVD）收录了由北京长亭科技有限公司发现并报送的 Apache Tomcat 文件包含漏洞（CNVD-2020-10487，对应 CVE-2020-1938）。攻击者利用该漏洞，可在未授权的情况下远程读取特定目录下的任意文件。目前，漏洞细节尚未公开，厂商已发布新版本完成漏洞修复。  

一、漏洞情况分析  

Tomcat 是 Apache 软件基金会 Jakarta 项目中的一个核心项目，作为目前比较流行的 Web 应用服务器，深受 Java 爱好者的喜爱，并得到了部分软件开发商的认可。Tomcat 服务器是一个免费的开放源代码的 Web 应用服务器，被普遍使用在轻量级 Web 应用服务的构架中。  

2020 年 1 月 6 日，国家信息安全漏洞共享平台（CNVD）收录了由北京长亭科技有限公司发现并报送的 Apache Tomcat 文件包含漏洞。Tomcat AJP 协议由于存在实现缺陷导致相关参数可控，攻击者利用该漏洞可通过构造特定参数，读取服务器 webapp 下的任意文件。若服务器端同时存在文件上传功能，攻击者可进一步实现远程代码的执行。  

CNVD 对该漏洞的综合评级为“高危”。  

二、漏洞影响范围  

漏洞影响的产品版本包括：  

Tomcat 6  

Tomcat 7  

Tomcat 8  

Tomcat 9  

CNVD 平台对 Apache Tomcat AJP 协议在我国境内的分布情况进行统计，结果显示我国境内的 IP 数量约为 55.5 万，通过技术检测发现我国境内共有 43197 台服务器受此漏洞影响，影响比例约为 7.8%。  

三、漏洞处置建议  

据了解，目前，Apache 官方已发布 9.0.31、8.5.51 及 7.0.100 版本对此漏洞进行修复，CNVD 建议用户尽快升级新版本或采取临时缓解措施：  

1. 如未使用 Tomcat AJP 协议：  

如未使用 Tomcat AJP 协议，可以直接将 Tomcat 升级到 9.0.31、8.5.51 或 7.0.100 版本进行漏洞修复。  

如无法立即进行版本更新、或者是更老版本的用户，建议直接关闭 AJPConnector，或将其监听地址改为仅监听本机 localhost。  

具体操作：  



  



2. 如果使用了 Tomcat AJP 协议：  

建议将 Tomcat 立即升级到 9.0.31、8.5.51 或 7.0.100 版本进行修复，同时为 AJP Connector 配置 secret 来设置 AJP 协议的认证凭证。例如（注意必须将 YOUR_TOMCAT_AJP_SECRET 更改为一个安全性高、无法被轻易猜解的值）：



  



另外，如无法立即进行版本更新、或者是更老版本的用户，建议为 AJPConnector 配置 requiredSecret 来设置 AJP 协议认证凭证。例如（注意必须将 YOUR_TOMCAT_AJP_SECRET 更改为一个安全性高、无法被轻易猜解的值）：  



【郑重声明】温尼伯站坛刊载此文不代表同意其说法或描述，仅为提供更多信息，也不构成任何投资或其他建议。转载需经本网同意并注明出处。本网站有部分文章是由网友自由上传，对于此类文章本站仅提供交流平台，不为其版权负责；部分内容经社区和论坛转载，原作者未知，如果您发现本网站上有侵犯您的知识产权的文章，请及时与我们联络，我们会及时删除或更新作者。
回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 注册用户

本版积分规则



手机版|温尼伯站

JS of wanmeiff.com and vcpic.com Please keep this copyright information, respect of, thank you!JS of wanmeiff.com and vcpic.com Please keep this copyright information, respect of, thank you!

GMT-5, 2026-7-30 18:11 , Processed in 0.067621 second(s), 37 queries , Gzip On.

温尼伯站版权所有

All right reserved by Winnipeg Chinese Media.

快速回复 返回顶部 返回列表