摘要： Apache Tomcat远程代码执行漏洞预警（CVE-2020-9484）

成都链安威胁情报系统预警，Apache Tomcat远程代码执行存在漏洞，部分交易所仍然在使用此web服务器，黑客可利用此漏洞进行犯罪入侵，我们建议：使用相关软件的交易所及时自查并进行修复。

漏洞威胁：高

受影响版本：

▷Apache Tomcat 10.0.0-M1 至 10.0.0-M1

▷Apache Tomcat 9.0.0.M1 至 9.0.34

▷Apache Tomcat 8.5.0 至 8.5.54

▷Apache Tomcat 7.0.0 至 7.0.103

漏洞描述：

1)攻击者可以通过此漏洞控制服务器以及计算机上的文件；

2)服务器将会被配置FileStore和PersistenceManager；

3)PersistenceManager配置有sessionAttributeValueClassNameFilter =“ ”（除非使用SecurityManager，否则为默认值）或不严谨的过滤器，允许攻击者执行反序列化操作；

4) 攻击者知道从FileStore使用的存储位置到攻击者可以控制的文件的相对文件路径；

◇ 然后，使用特殊请求，攻击者将能够在其控制下通过反序列化文件来触发远程代码执行。（攻击成功必须满足以上四个条件）

成都链安安全团队建议根据官方提供的修复方案进行修复，修复方案如下：

▷Apache Tomcat 10.0.0-M1 至 10.0.0-M1版本建议升级到Apache Tomcat 10.0.0-M5或更高版本；

▷Apache Tomcat 9.0.0.M1 至 9.0.34版本建议升级到Apache Tomcat 9.0.35或更高版本；

▷Apache Tomcat 8.5.0 至 8.5.54版本建议升级到Apache Tomcat 8.5.55或更高版本；

▷Apache Tomcat 7.0.0 至 7.0.103版本建议升级到Apache Tomcat 7.0.104或更高版本。

◇ 用户也可以通过sessionAttributeValueClassNameFilter适当的值配置PersistenceManager，以确保仅对应用程序提供的属性进行序列化和反序列化。

作者：成都链安科技；来自链得得内容开放平台“得得号”，本文仅代表作者观点，不代表链得得官方立场凡“得得号”文章，原创性和内容的真实性由投稿人保证，如果稿件因抄袭、作假等行为导致的法律后果，由投稿人本人负责得得号平台发布文章，如有侵权、违规及其他不当言论内容，请广大读者监督，一经证实，平台会立即下线。如遇文章内容问题，请发送至邮箱：linggeqi@chaindd.com

上一篇：太堵了！以太坊我求求你快升级

下一篇：一文了解IBM、微软等成立的InterWork究竟是什么？