金御网安

Apache Tomcat 远程代码执行漏洞CVE-2017-12615

发布时间:5年前热度: 471 ℃评论数:

Apache Tomcat官方发布了一条安全公告,该公告指出Windows上的Apache Tomcat如果开启PUT方法支持则可能存在远程代码执行漏洞,漏洞编号为CVE-2017-12615。攻击者可以在使用该漏洞上传JSP文件从而导致远程代码执行。

此漏洞影响Windows平台下的Apache Tomcat 7.x版本,目前已在Apache Tomcat 7.0.81中修复。


相关地址:

http://mail-archives.apache.org/mod_mbox/www-announce/201709.mbox/%3C81e3acd3-f335-ff0d-ae89-bf44bb66fca0@apache.org%3E

受影响的版本

· Apache Tomcat 7.0.0 to 7.0.79


不受影响的版本

· Apache Tomcat 7.0.81

· Apache Tomcat 8.x

· Apache Tomcat 9.x


防护方案

·   临时防护方案

用户可以禁用PUT方法来防护此漏洞,操作方式如下:

在Tomcat的web.xml 文件中配置org.apache.catalina.servlets.DefaultServlet的初始化参数
<init-param>  
    <param-name>readonly</param-name>  
    <param-value>true</param-value>  
</init-param>  
确保readonly参数为true(默认值),即不允许DELETE和PUT操作。

注意:

如果禁用PUT方法,对于依赖PUT方法的应用,可能导致业务失效。

本安全公告仅用来描述可能存在的安全问题,SECKING不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,SECKING以及安全公告作者不为此承担任何责任。secking拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告,必须保证此安全公告的完整性,包括版权声明等全部内容。未经允许,不得任意修改或者增减此安全公告内容,不得以任何方式将其用于商业目的。

Apache Tomcat 远程代码执行漏洞

手机扫码访问