阿里云
发表主题 回复主题
  • 4721阅读
  • 2回复

[安全漏洞公告专区]【漏洞公告】CVE-2017-12615/CVE-2017-12616:Tomcat信息泄漏和远程代码执行漏洞

级别: 论坛版主
发帖
210
云币
391
2017年9月19日,Apache Tomcat官方确认并修复了两个高危漏洞,漏洞CVE编号:CVE-2017-12615和CVE-2017-12616,该漏洞受影响版本为7.0-7.80之间,在一定条件下,攻击者可以利用这两个漏洞,获取用户服务上 JSP 文件的源代码,或是通过精心构造的攻击请求,向用户服务器上传恶意JSP文件,通过上传的 JSP 文件 ,可在用户服务器上执行任意代码,从而导致数据泄露或获取服务器权限,存在高安全风险。 zAK+8{,  
阿里提示您关注并尽快查,具体详情如下:                                                                                                                                                            
漏洞编号: ZW-yP2  
CVE-2017-12615 :j5n7s?&=y  
CVE-2017-12616 Gn\_+Pj$  
漏洞名称: [OjF[1I)u  
CVE-2017-12615-远程代码执行漏洞 pM^9c7@!:  
CVE-2017-12616-信息泄露漏洞 IC#>X5  
官方评级: ?Y)vGlWDW<  
高危 `k=bL"T>\  
漏洞描述: S\''e`Eb"5  
CVE-2017-12616:信息泄露漏洞 ;KOLNi-B&  
当 Tomcat 中使用了 VirtualDirContext 时,攻击者将能通过发送精心构造的恶意请求,绕过设置的相关安全限制,或是获取到由 VirtualDirContext 提供支持资源的 JSP 源代码。 iDN;m`a  
CVE-2017-12615:远程代码执行漏洞 3t`P@nL0;  
当 Tomcat 运行在 Windows 主机上,且启用了 HTTP PUT 请求方法(例如,将 readonly 初始化参数由默认值设置为 false),攻击者将有可能可通过精心构造的攻击请求向服务器上传包含任意代码的 JSP 文件。之后,JSP 文件中的代码将能被服务器执行。 YCdS!&^UN  
通过以上两个漏洞可在用户服务器上执行任意代码,从而导致数据泄露或获取服务器权限,存在高安全风险。 $ .C=H[QC  
漏洞利用条件和方式: &Flglj~7l  
  • CVE-2017-12615漏洞利用需要在Windows环境,且需要将 readonly 初始化参数由默认值设置为 false,经过实际测试,Tomcat 7.x版本内web.xml配置文件内默认配置无readonly参数,需要手工添加,默认配置条件下不受此漏洞影响。
  • CVE-2017-12616漏洞需要在server.xml文件配置VirtualDirContext参数,经过实际测试,Tomcat 7.x版本内默认配置无VirtualDirContext参数,需要手工添加,默认配置条件下不受此漏洞影响。
j;%-fvd;  
漏洞影响范围: 4FEk5D  
CVE-2017-12616影响范围:Apache Tomcat 7.0.0 - 7.0.80 ]p*l%(dhY  
CVE-2017-12615影响范围: Apache Tomcat 7.0.0 - 7.0.79 $@sEn4h  
漏洞检测: v$~QU{ &  
开发人员检查是否使用受影响范围内的Apache Tomcat版本 [r3!\HI7x  
漏洞修复建议(或缓解措施): Q<z_/ j9  
  • 根据业务评估配置readonly和VirtualDirContext值为True或注释参数,禁用PUT方法并重启tomcat,临时规避安全风险;
      注意: 如果禁用PUT方法,对于依赖PUT方法的应用,可能导致业务失效。 K2 he4<  
  • 官方已经发布Apache Tomcat 7.0.81 版本修复了两个漏洞,建议阿里云用户尽快升级到最新版本;
  • 可以选用阿里云云盾WAF进行防御
N<f"]  
情报来源: /nyUG^5#{  
  • https://tomcat.apache.org/security-7.html
  • http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81
uJOJ-5}yt  
%F\?R[^5  
+IrLDsd  
_=+V/=  
tDSJpW'd  
c#a @n 4  
F\fWvXdW  
0*%Z's\M"  
[OHxonU  
aT_&x@x  
xG}(5Tt  
km)zMoE{c{  
Lk~ho?^`  
bx<RV7>0  
D|@/yDQ  
P9=?zh 6G.  
Sczc5FG  
MHSs!^/g5  
j2Tr $gx<  
S?RN?1  
!vX D  
ld3-C55  
KiI!frm1  
+#GQ,  
q2. XoCf  
+u!0rLb  
?g?L3vRK  
7s"< 'cx_F  
K#*reJ}K  
CF+_/s#j^  
&n6$rBr %  
2rmSo&3@s  
)E6;-rD0^+  
#?q&r_@@  
':gUOra|I  
=:DaS`~V  
]04 e1F1J  
)N=NR2xBZ  
9;Itqe{8w  
~vXaqCX  
T32+3wb"I  
W5?yy>S6N  
=i_-F$pV  
@?=|Y  
0@G")L Ue0  
2kdC]|H2?  
*.\  
B*4}GPQ  
*c%oN |  
PUo/J~v  
xEf'Bmebk  
Kl2lbe7  
JNkwEZhHyg  
l5\"9 ,<  
%Eb%V($  
R  zf  
7<%<Ff@^)O  
UilMv~0  
slg ]#Dy  
0A,]$Fzt  
0PU8 #2pR  
n) k1  
F>]m3(  
zX0md x<|<  
[ 此帖被正禾在2017-09-20 22:49重新编辑 ]
级别: 新人
发帖
10
云币
10
只看该作者 沙发  发表于: 09-25
Re【漏洞公告】CVE-2017-12615/CVE-2017-12616Tomcat信息泄漏和远程代码执行漏洞
噢噢噢噢
级别: 禁止发言
发帖
52
云币
71
只看该作者 板凳  发表于: 10-05
用户被禁言,该主题自动屏蔽!
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
如果您在写长篇帖子又不马上发表,建议存为草稿
 
验证问题: ECS是阿里云提供的什么服务? 正确答案:云服务器
上一个 下一个