Java 是目前 Web 開發(fā)中最主流的編程語言，而 Tomcat 是當(dāng)前最流行的 Java 中間件服務(wù)器之一，從初版發(fā)布到現(xiàn)在已經(jīng)有二十多年歷史，在世界范圍內(nèi)廣泛使用。

此次被發(fā)現(xiàn)的Ghostcat漏洞，經(jīng)研究人員確認(rèn)，其影響范圍覆蓋全版本默認(rèn)配置下的 Tomcat，這意味著它在 Tomcat 里已經(jīng)潛伏了長達(dá)十多年的時(shí)間。

Ghostcat（幽靈貓）漏洞，編號(hào)為CVE-2020-1938，影響開源Java Servlet容器的版本6、7、8和9。

由于 Tomcat AJP 協(xié)議設(shè)計(jì)上存在缺陷，攻擊者通過 Tomcat AJP Connector 可以讀取或包含 Tomcat 下部署的所有 webapp 的配置文件或 jsp/jar/class 等源碼文件。網(wǎng)站配置文件經(jīng)常含有諸如數(shù)據(jù)庫、郵箱服務(wù)器賬號(hào)密碼等敏感信息，這也就意味著，一旦攻擊者獲取這些信息，就有可能造成整個(gè)企業(yè)的重要核心數(shù)據(jù)被竊取。此外，如果網(wǎng)站應(yīng)用提供文件上傳的功能，攻擊者可以先向服務(wù)端上傳一個(gè)內(nèi)容含有惡意 JSP 腳本代碼的文件（上傳的文件本身可以是任意類型的文件，比如圖片、純文本文件等），然后利用 幽靈貓 （Ghostcat ）漏洞進(jìn)行文件包含，從而達(dá)到遠(yuǎn)程代碼執(zhí)行，進(jìn)一步獲取服務(wù)器權(quán)限等危害。

該漏洞是由網(wǎng)絡(luò)安全公司Chaitin Tech的研究人員發(fā)現(xiàn)的，已于1月3日?qǐng)?bào)告給Apache軟件基金會(huì)。

2月11日、14日，Tomcat 官方已發(fā)布 9.0.31、8.5.51 及 7.0.100 版本針對(duì)此漏洞進(jìn)行修復(fù)。

在Apache Tomcat上運(yùn)行的Web服務(wù)器，應(yīng)立即安裝最新可用版本，以防止黑客對(duì)其進(jìn)行未授權(quán)控制。

如果未使用 Tomcat AJP 協(xié)議，可以直接將 Tomcat 升級(jí)到 9.0.31、8.5.51 或 7.0.100 版本進(jìn)行漏洞修復(fù)。如果服務(wù)器環(huán)境中使用到了 Tomcat AJP 協(xié)議，則建議將 Tomcat 升級(jí)到 9.0.31、8.5.51 或 7.0.100 版本，同時(shí)為 AJP Connector 配置 secret 來設(shè)置 AJP 協(xié)議認(rèn)證憑證。

本文綜合整理自媒體報(bào)道。

及時(shí)掌握網(wǎng)絡(luò)安全態(tài)勢 盡在傻蛋網(wǎng)絡(luò)安全監(jiān)測系統(tǒng)

【網(wǎng)絡(luò)安全監(jiān)管部門】免費(fèi)試用

本文來源:

如涉及侵權(quán)，請(qǐng)及時(shí)與我們聯(lián)系，我們會(huì)在第一時(shí)間刪除或處理侵權(quán)內(nèi)容。
電話：400-869-9193 負(fù)責(zé)人：張明