阿里云
发表主题 回复主题
  • 6811阅读
  • 1回复

[安全漏洞公告专区]【漏洞公告】CVE-2018-1305/CVE-2018-1304:Apache Tomcat安全机制绕过漏洞

级别: 论坛版主
发帖
237
云币
465
2018年2月23日,Apache发布安全公告,公告显示Apache Tomcat 7、8、9存在安全绕过漏洞,CVE编号CVE-2018-1305、CVE-2018-1304,攻击者可以利用这个问题,绕过某些安全限制来执行未经授权的操作 t} zffe-  
由于Apache Tomcat 使用较广泛,建议用户关注并开展查工作。 GnlP#;  
@{_L38. Nw  
具体详情如下: (3DjFT3 w  
        
@?$x  
漏洞编号: tSVN}~1\  
CVE-2018-1305 G6C#M-S  
CVE-2018-1304 =kz(1Pb  
漏洞名称: 6q[|U_3I@  
CVE-2018-1305/CVE-2018-1304:Apache Tomcat安全机制绕过漏洞 ,Jy@n]x  
官方评级: )T1U!n?^x  
中危 W0X/&v,k*  
漏洞描述: p&SxR}h  
Apache Tomcat servlet 注释定义的安全约束,只在servlet加载后才应用一次。该漏洞是由于由于以这种方式定义的安全约束,应用于URL模式及该点下任何URL,很可能取决于servlet加载的次序,对于某些不应用的安全约束,恶意攻击者利用该漏洞可能会将资源暴露给未经授权访问用户,导致敏感信息泄露。 "lcNjyU\O  
漏洞利用条件和方式: *{qW7x.6h  
通过PoC直接远程利用。 e`pYO]Z  
PoC状态: x=g=e <_  
未公开 Zl69d4vG  
漏洞影响范围: !o+Y" * /  
以下版本受到影响: /DG+8u  
  • 9版本(9.0.0.M1到9.0.4)
  • 8版本(8.5.0到8.5.27, 8.0.0.RC1到8.0.49)
  • 7版本(7.0.0到7.0.84)
PuvC MD  
安全版本: 2lVJ"jg  
  • 大于或等于Apache Tomcat 9.0.5版本
  • 大于或等于Apache Tomcat 8.5.28版本
  • 大于或等于Apache Tomcat 8.0.50版本
  • 大于或等于Apache Tomcat 7.0.85版本
"@1e0`n Q  
漏洞检测: ,f@$a3}'Lx  
开发人员检查是否使用了受影响版本范围内的Apache Tomcat版本。 p5|.E  
漏洞修复建议(或缓解措施): {sn RS)-  
目前官方已提供安全更新版本下载 u^DfRd&P0  
hk =nXv2M  
提示:建议您在修复漏洞前做好测试工作,同时使用ECS快照功能做好数据备份工作。 A>@ i TI  
情报来源: +gZg7]!Z  
8$k`bZ  
RRW/.y  
= GN1l[X  
D=hy[sDBw  
{BkTJQ)  
3uSj5+@q6  
.lclW0*  
CH!>RRF  
SG:Fn8  
tPv3nh  
5Lmhip  
%gK@ R3p  
V}?*kx~T2C  
?T]` X  
:<t%Sf  
!*[Fw1-J  
v5 |XyN"  
>3{#S:  
['<Q402:.  
$1aJdZC7  
6j*L]S c  
RKIBFP8.  
3X &'hz@  
YkOl@l$D  
<+7]EwVcn^  
VFmG\  
 fP+RuZ  
1 u[a713O  
Uq}FrK}  
47S1mxur  
*$%ch=  
ivgV5 )".  
`S`,H  
= aO1uC|6C  
c(@(j8@S  
,, 8hU7P  
5 )A(q\  
%4bGI/\/  
[ 此帖被正禾在2018-02-27 23:05重新编辑 ]
级别: 新人
发帖
1
云币
1
只看该作者 沙发  发表于: 03-02
Re【漏洞公告】CVE-2018-1305/CVE-2018-1304Apache Tomcat安全机制绕过漏洞
你好,这个是什么漏洞,怎么检测系统上存在这样的漏洞?
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
如果您在写长篇帖子又不马上发表,建议存为草稿
 
验证问题: 46 + 18 = ?
上一个 下一个