CNVD曝出Tomcat服务器文件包含漏洞

声明：该文章由作者（kstest）发表，转载此文章须经作者同意并请附上出处(0XUCN)及本页链接。。

近日,国家信息安全漏洞共享平台发布了Apache Tomcat上的文件包含漏洞。通知中表示攻击者可利用该漏洞读取或包含Tomcat上所有webapp目录下的任意文件,如:webapp配置文件或源代码等。而且该漏洞是于2020年1月6日报送,距今已有一个半月的时间。

2020年2月20日下午17:30,CNVD发布漏洞公告:https://www.cnvd.org.cn/webinfo/show/5415

影响版本

Apache Tomcat 6
Apache Tomcat 7 < 7.0.100
Apache Tomcat 8 < 8.5.51
Apache Tomcat 9 < 9.0.31

Tomcat是Apache软件基金会的Jakarta项目中的一个核心项目,由Apache、Sun和其他一些公司及个人共同开发而成,目前在全球范围内被广泛利用。

根据目前FOFA系统最新数据(一年内数据),显示全球范围内共有2812352个Tomcat服务对外开放。中国使用数量最多,共有1015990个,美国第二,共有645451个,巴西第三,共有108635个,德国第四,共有99789个,韩国第五,共有91441个。

中国大陆地区浙江省使用数量最多,共有371333个,北京市第二,共有169212个,广东省第三,共有79255个,上海市第四,共有45408个,江苏省第五,共有41842个。

根据Tomcat官网的数据,版本更新时间在2020年之后的共有Tomcat 7.0.100(2020-02-14),Tomcat 9.0.31(2020-02-11),Tomcat 8.5.51(2020-02-11)。

在2020年2月21日晚,外网上陆续有研究人员公开了PoC检测代码:
1.https://github.com/threedr3am/learnjavabug/blob/1f601a919605704e8e67b89213f233b82fa537c7/tomcat/ajp-bug/src/main/java/com/threedr3am/bug/tomcat/ajp/FileRead.java
2.https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi/blob/8bd38f4cf22331ecf4e48096a78c5931509c26be/CNVD-2020-10487-Tomcat-Ajp-lfi.py

来自：白帽汇

[超站]友情链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
关注数据与安全，洞悉企业级服务市场：https://www.ijiandao.com/