弱點通告:Apache Tomcat 存在2個安全性弱點,建議請管理者儘速更新!
2017/09/22
風險等級: 高度威脅
摘  要:

Apache Tomcat 存在2個安全性弱點,可能允許遠端攻擊者利用該弱點來執行遠端程式碼與控制系統。

目前已知會受到影響的產品為Apache Tomcat 7.0.81 之前的版本,HiNet SOC 建議請管理者儘速評估更新,以降低受駭風險。

影響系統:
  • Apache Tomcat 7.0.81 之前的版本
  • 解決辦法:
  • 請參考Apache Struts 官網更新至Apache Tomcat 7.0.81 (含)之後版本
  • HTTP PUT Request method預設即為停用,如不知是否停用,可確認web.xml 中是否有readonly參數,若有此參數,須將該參數值設定為true。
  • VirtualDirContext預設即為停用,如不知是否停用,可確認server.xml中有無設定VirtualDirContext參數,請將此參數移除,依官方網頁(http://tomcat.apache.org/security-7.html)所提供之解決方案進行內容新增,可降低此弱點影響程度
  • 細節描述:

    Apache Tomcat中架設於Windows上的Apache Tomcat網頁服務若啟用HTTP PUT Request method(預設並無啟用),可被攻擊者上傳JSP檔案,使遠端用戶可執行任意程式碼。 Apache Tomcat網頁服務若啟用VirtualDirContext功能將導致攻擊者可藉由送出特定Request 繞過安全限制,檢視VirtualDirContext提供資源的相關JSP原始碼。

    HiNet SOC 建議請管理者儘速評估更新,以降低受駭風險。

    參考資訊:

    us-cert (2017/09/19)
    apache (2017/09/19)