• 欢迎访问本站网站,推荐使用最新版火狐浏览器和Chrome浏览器访问本网站,如果您觉得本站非常有看点,那么赶紧使用Ctrl+D 收藏吧

ApacheTomcat服务器存在文件包含漏洞(CVE-2020-1938)

网络安全 admin 6个月前 (10-18) 142次浏览 已收录 0个评论 扫描二维码
Tomcat介绍
Apache是普通服务器,本身只支持html即普通网页。不过可以通过插件支持php,还可以与Tomcat连通(单向Apache连接Tomcat,就是说通过Apache可以访问Tomcat资源。反之不然)。Apache只支持静态网页,但像php,cgi,jsp等动态网页就需要Tomcat来处理。Tomcat是由Apache软件基金会下属的Jakarta项目开发的一个Servlet容器,按照Sun Microsystems提供的技术规范,实现了对Servlet和JavaServer Page(JSP)的支持,并提供了作为Web服务器的一些特有功能,如Tomcat管理和控制平台、安全域管理和Tomcat阀等。由于Tomcat本身也内含了一个HTTP服务器,它也可以被视作一个单独的Web服务器。
但是,不能将 Tomcat 和 Apache Web 服务器混淆Apache Web Server 是一个用 C 语言实现的 HTTP web server;
这两个 HTTP web server 不是捆绑在一起的。Apache Tomcat 包含了一个配置管理工具,也可以通过编辑 XML 格式的配置文件来进行配置。Apache,nginx,tomcat并称为网页服务三剑客,可见其应用度之广泛。

 

ApacheTomcat服务器存在文件包含漏洞(CVE-2020-1938)

 

近日,Apache Tomcat修复了一个漏洞(CVE-2020-1938)CNVD-2020-10487该漏洞使攻击者可以读取任何webapps文件(如webapp配置文件,源代码等)或包括一个文件来远程执行代码 。PoC已发布。

 

影响版本

 

Tomcat6.*
Tomcat 7.* < 7.0.100
Tomcat 8.* < 8.5.51
Tomcat 9.* < 9.0.31

 

ApacheTomcat服务器存在文件包含漏洞(CVE-2020-1938)

修复建议
临时禁用AJP协议端口,在conf/server.xml配置文件中注释掉
<Connector port=”8009″protocol=”AJP/1.3″redirectPort=”8443″ />

补丁下载

 



 

下载POC并测试

 

Poc地址:https://github.com/0nise/CVE-2020-1938

 

Poc地址:https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi

 

Poc地址:https://github.com/nibiwodong/CNVD-2020-10487-Tomcat-ajp-POC

本站的文章和资源来自互联网或者站长的原创丨本网站采用BY-NC-SA协议进行授权
转载请注明原文链接:ApacheTomcat服务器存在文件包含漏洞(CVE-2020-1938)
喜欢 (0)
[]
分享 (0)
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址