个人OKR设定|2020最后3个月,我用OKR计划法完成所有flag(好的okr目标应该能在一两周内完成)
964
2022-05-30
一、概要
近日,华为云关注到Apache Tomcat官方发布安全公告,披露一处反序列化远程代码执行漏洞(CVE-2020-9484)。在满足特定条件下,攻击者通过特制的请求来触发远程代码执行。
华为云提醒使用Apache Tomcat的用户及时安排自检并做好安全加固。
参考链接:https://www.openwall.com/lists/oss-security/2020/05/20/4
二、威胁级别
威胁级别:【严重】
(说明:威胁级别共四级:一般、重要、严重、紧急)
三、漏洞影响范围
影响版本:
Apache Tomcat 10.0.0-M1 ~ 10.0.0-M4
Apache Tomcat 9.0.0.M1 ~ 9.0.34
Apache Tomcat 8.5.0 ~ 8.5.54
Apache Tomcat 7.0.0 ~ 7.0.103
安全版本:
Apache Tomcat >= 10.0.0-M5
Apache Tomcat >= 9.0.35
Apache Tomcat >= 8.5.55
Apache Tomcat >= 7.0.104
四、漏洞排查及处置
在同时满足以下条件时,漏洞可被成功利用:
a)攻击者能够控制服务器上文件的内容和名称;
b)服务器启用了Tomcat会话复制功能,使用了会话持久性,并将会话保存到共享文件系统(PersistenceManager + FileStore);
c) PersistenceManager配置有sessionAttributeValueClassNameFilter =“ null”(除非使用SecurityManager,否则为默认值)或足够松散的过滤器,允许攻击者提供反序列化数据对象;
d) 攻击者知道使用的FileStore存储位置到可控文件的相对文件路径。
目前,官方已在新版本中修复了该漏洞,请受影响的用户升级到安全版本或配置为sessionAttributeValueClassNameFilter 带有适当值的PersistenceManager,以确保仅对应用程序提供的属性进行序列化和反序列化。
注:修复漏洞前请将资料备份,并进行充分测试。
通用安全
版权声明:本文内容由网络用户投稿,版权归原作者所有,本站不拥有其著作权,亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容,请联系我们jiasou666@gmail.com 处理,核实后本网站将在24小时内删除侵权内容。