Apache Tomcat 再爆严重安全漏洞

Apache Tomcat 再次爆出安全漏洞：

漏洞：CVE-2011-3190 Apache Tomcat 绕过验证和信息泄露
严重性：严重
公布方：Apache软件基金会
受影响的版本：

Tomcat 7.0.0 ~ 7.0.20的所有版本
Tomcat 6.0.0 ~ 6.0.33的所有版本
Tomcat 5.5.0 ~ 5.5.33的所有版本
早期的已不再提供支持的版本也可能受影响

Apache Tomcat支持AJP协议，用来通过反向代理到Tomcat的请求和相关的数据，AJP协议的作用是，当一个请求包含请求主体时，一个未经允许的、包含请求主体首部分（或可能所有的）的AJP消息被发送到Tomcat。在某些情况下，Tomcat会把这个消息当作一个新的请求来处理，而不会当作请求主体。这可能导致***者完全控制AJP消息，允许***者：

插入已验证用户的名字
插入任何客户端的IP地址（可能绕过任何客户端IP地址的过滤）
导致用户之间的响应混乱

下面的AJP连接器实现不会受到影响：

org.apache.jk.server.JkCoyoteHandler (5.5.x - default, 6.0.x - default)

下面的AJP连接器实现会受到影响：

org.apache.coyote.ajp.AjpProtocol (6.0.x, 7.0.x - default)
org.apache.coyote.ajp.AjpNioProtocol (7.0.x)
org.apache.coyote.ajp.AjpAprProtocol (5.5.x, 6.0.x, 7.0.x)

此外，这个问题只适用于以下都为真的情况：

POST请求被接受
请求主体没有被处理

举例：参见 https://issues.apache.org/bugzilla/show_bug.cgi?id=51698

解决措施：

升级Apache Tomcat到已经修复此问题的版本。
安装相应的补丁： - 7.0.x

http://svn.apache.org/viewvc?rev=1162958&view=rev
- 6.0.x http://svn.apache.org/viewvc?rev=1162959&view=rev
- 5.5.x http://svn.apache.org/viewvc?rev=1162960&view=rev 配置反向代理和Tomcat AJP连接器，使用requiredSecret属性。使用org.apache.jk.server.JkCoyoteHandler AJP连接器(不适用于 Tomcat 7.0.x)

VIA apache.org

转载于:https://blog.51cto.com/lya041/664151

Apache Tomcat 再爆严重安全漏洞相关推荐

开发者周刊：英特尔再爆重大芯片漏洞；微软开源Bing搜索关键算法；Facebook联合创始人呼吁拆分Facebook
开发者周刊:只为传递"有趣/有用"的开发者内容,点击订阅! 本周热门项目 GitHub推出软件包托管服务Package Registry 本周,GitHub 再下一城,推出自己的软 ...
OpenSSL 再爆严重安全漏洞 —— CCS 注入
OpenSSL 的 ChangeCipherSpec 处理再报严重安全漏洞,该漏洞使得攻击者可以拦截恶意中间节点加密和解密数据,同时迫使使用弱密钥的SSL客户端暴露在恶意节点. 当软件使用OpenSS ...
英特尔再爆重大芯片漏洞，苹果谷歌微软相继中招！
被 Bug 以及漏洞支配的恐惧,恐怕没有人能比研发人员更能感同身受了. 作者 | 屠敏出品 | CSDN(ID:CSDNnews) 近两年间,想必作为全球知名的半导体公司 Intel 的研发团队承受 ...
垂死挣扎的 Flash Player 再爆零日漏洞，影响多个平台
转自:https://www.oschina.net/news/93070/ecmascript-2018-specification Adobe Flash Player 自发布以来,就频频被曝出存 ...
IIS Nginx Apache Tomcat 中间件漏洞
简介中间件(英语:Middleware)是提供系统软件和应用软件之间连接的软件,以便于软件各部件之间的沟通.中间件处在操作系统和更高一级应用程序之间.他充当的功能是:将程序运行环境与操作系统隔离,从 ...
【通告更新】Apache Tomcat服务器文件包含漏洞安全风险通告第三次更新
近日,奇安信CERT监测到CNVD发布了漏洞公告,对应CNVD漏洞编号:CNVD-2020-10487.CVE漏洞编号:CVE-2020-1938.CNVD漏洞公告称Apache Tomcat服务器存 ...
Apache Tomcat安全漏洞列表及整改建议合集
描述: 安全整改目前已经成为安全运维工程师必备的技能之一,但是令人头疼的是,经常会应为一些整改问题,百度无数次,并且不知道标准是什么.下面就为大家总结了在近期web漏洞整改中,绿盟给出的漏洞报告及整改 ...
JAVA CGI 远程代码执行_Apache Tomcat CVE-2019-0232 远程代码执行漏洞
2019年4月10日,Apache Tomcat报告了一个漏洞称在windows上运行的Apache Tomcat存在远程代码执行漏洞,漏洞编号为CVE-2019-0232.在Windows平台,远程 ...
OpenSSL再曝CCS注入漏洞-心伤未愈又成筛子
太戏剧了,昨晚看了佳片有约,还不错,2012版的<完美回顾>,像我这样的人依旧选择用电视或者去影院看电影,在没有中间插播广告的时候,体验憋尿得过程中,总是能突然有非常多的想法,这是用电脑或 ...

Apache Tomcat 再爆严重安全漏洞

Apache Tomcat 再爆严重安全漏洞相关推荐

最新文章

热门文章