阿里云
阿里云飞天战略营全新发布
发表主题 回复主题
  • 5079阅读
  • 1回复

[安全漏洞公告专区]【漏洞公告】CVE-2018-1305/CVE-2018-1304:Apache Tomcat安全机制绕过漏洞

级别: 论坛版主
发帖
227
云币
443
2018年2月23日,Apache发布安全公告,公告显示Apache Tomcat 7、8、9存在安全绕过漏洞,CVE编号CVE-2018-1305、CVE-2018-1304,攻击者可以利用这个问题,绕过某些安全限制来执行未经授权的操作 N<-Gk6`C/  
由于Apache Tomcat 使用较广泛,建议用户关注并开展查工作。 ipILG4  
D6^6}1WI  
具体详情如下: z ]Ue|%K  
        
W%)Y#C  
漏洞编号: 05k0n E  
CVE-2018-1305  bF(f*u  
CVE-2018-1304 M[uA@  
漏洞名称: 4aY|TN/|  
CVE-2018-1305/CVE-2018-1304:Apache Tomcat安全机制绕过漏洞 "nWw;-V}}  
官方评级: r9lR|\Ax2U  
中危 9C \Fq-  
漏洞描述: Faf&U%]*`  
Apache Tomcat servlet 注释定义的安全约束,只在servlet加载后才应用一次。该漏洞是由于由于以这种方式定义的安全约束,应用于URL模式及该点下任何URL,很可能取决于servlet加载的次序,对于某些不应用的安全约束,恶意攻击者利用该漏洞可能会将资源暴露给未经授权访问用户,导致敏感信息泄露。 s0_nLbWwO  
漏洞利用条件和方式: x;')9/3  
通过PoC直接远程利用。 JZ#[ 2mLh  
PoC状态: BSMwdr  
未公开 )/EO&F  
漏洞影响范围: 4H-'Dr=G  
以下版本受到影响: u4_9)P`]0  
  • 9版本(9.0.0.M1到9.0.4)
  • 8版本(8.5.0到8.5.27, 8.0.0.RC1到8.0.49)
  • 7版本(7.0.0到7.0.84)
veRm2 LSP  
安全版本: S+2(f> Z  
  • 大于或等于Apache Tomcat 9.0.5版本
  • 大于或等于Apache Tomcat 8.5.28版本
  • 大于或等于Apache Tomcat 8.0.50版本
  • 大于或等于Apache Tomcat 7.0.85版本
9I/N4sou  
漏洞检测: w-{c.x  
开发人员检查是否使用了受影响版本范围内的Apache Tomcat版本。 _,d~}_$`i  
漏洞修复建议(或缓解措施): +'@Dz9:>  
目前官方已提供安全更新版本下载 |a%Tp3Q~  
\_U$"/$4VH  
提示:建议您在修复漏洞前做好测试工作,同时使用ECS快照功能做好数据备份工作。 C/&-l{7  
情报来源: S[T8T|_  
B~du-Z22IZ  
f4Rf?w*  
N"y)Oca{  
W"3ph6[eW  
jZ3fKyp#   
kE(mVyLQ  
+&"zU GTIc  
BV+ Bk+  
 _\HQvH  
&l[$*<P5V  
qcGK2Qx  
WSY}d Vr  
~F?u)~QZ #  
UEVG0qF  
E=w1=,/y  
d&s9t;@=  
f0aKlhEC  
FjI`uP  
qWKAM@  
g SAt@2*U2  
b,%C{mC  
dmN&+t  
k,F6Tx  
/_#q@r4ZQ  
w(TJ*::T  
X/M4!L}\  
qc~iQSI  
v2;`f+  
0tB0@Wj  
yN s,Ll~  
VEw"  
HuKc9U'7A  
DXK}-4"\  
y[_Q-   
Y.ToIka{  
nSAdCJ;4  
B\:%ufd ~  
; XN{x  
[ 此帖被正禾在2018-02-27 23:05重新编辑 ]
级别: 新人
发帖
1
云币
1
只看该作者 沙发  发表于: 03-02
Re【漏洞公告】CVE-2018-1305/CVE-2018-1304Apache Tomcat安全机制绕过漏洞
你好,这个是什么漏洞,怎么检测系统上存在这样的漏洞?
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
如果您在写长篇帖子又不马上发表,建议存为草稿
 
验证问题: 阿里云官网域名是什么? 正确答案:www.aliyun.com
上一个 下一个