Apache警告:Tomcat存在远程代码执行漏洞

安全
Mark Thomas,一位长期致力于Apache+Tomcat的工作者称“在某种情况下,用户可以上传恶意JSP文件到Tomcat服务器上运行,然后执行命令。JSP的后门可以用来在服务器上任意执行命令。”

[[119844]]

开源WEB容器–Apache+Tomcat老版本很容易受到远程代码执行的攻击。Mark Thomas,一位长期致力于Apache+Tomcat的工作者称“在某种情况下,用户可以上传恶意JSP文件到Tomcat服务器上运行,然后执行命令。JSP的后门可以用来在服务器上任意执行命令。”

Thomas今日发出警告称,Tomcat版本7.0.0和7.3.9在发布补丁之前是脆弱的。利用漏洞(CVE-2014-4444)可执行远程代码执行攻击。上周VMware安全工程部,通信与响应小组(vSECR)的Pierre Ernst挖掘出了这个漏洞。

但官方同时也表示,这个漏洞谈起来容易,但实施攻击有难度。攻击者必须达成的一定条件——其中包括:Oracle Java 1.7.0 update 25,或者Tomcat中的更早的脆弱版本。值得一提的是,该系统的文件路径必须保证可写,而JMX环境的自定义侦听器必须配置且绑定到本地localhost以外的地址。正因为这些限制,Tomcat的安全团队把该漏洞从严重降级为重要,严重程度往往与远程执行漏洞相关。

Apache团队鼓励用户升级到Tomcat7.0.40,或者将他们的Oracle Java升级到1.7.0来减轻危害,要不然就只能等到以后再修补它了。

 

责任编辑:林琳 来源: FreeBuf.COM
相关推荐

2020-10-08 13:44:27

漏洞

2023-12-14 16:20:09

2010-01-15 11:20:06

2022-05-31 19:08:07

漏洞网络攻击

2021-12-14 06:59:39

Apache Log4j2 漏洞

2021-07-16 10:37:14

漏洞网络安全网络攻击

2021-01-26 10:00:45

漏洞网络安全网络攻击

2020-10-23 09:58:57

漏洞

2015-03-06 15:31:01

2021-05-07 15:14:11

Apache Open漏洞开源

2017-10-12 06:42:16

Tomcat代码漏洞

2021-12-10 10:26:20

Apache漏洞Log4j

2021-04-14 09:55:34

ChromeEdge漏洞

2021-12-29 14:47:43

Apache团队Log4j漏洞

2021-04-14 21:40:49

谷歌Chrome浏览器

2011-08-04 13:53:04

2019-05-15 15:20:01

微软漏洞防护

2017-08-22 13:45:27

2015-04-30 08:11:40

2014-08-27 16:22:19

点赞
收藏

51CTO技术栈公众号