安全预警：Tomcat 存在信息泄漏和远程代码执行漏洞

2017年9月19日，腾讯云安全中心监测到  Apache Tomcat 修复了2个严重级别的漏洞， 分别为： 信息泄露漏洞（CVE-2017-12616）、远程代码执行漏洞（CVE-2017-12615），在某些场景下，攻击者将分别能通过这两个漏洞，获取用户服务器上 JSP 文件的源代码，或是通过精心构造的攻击请求，向用户服务器上传恶意 JSP 文件，通过上传的 JSP 文件 ，可在用户服务器上执行任意代码。

漏洞概述   

信息泄露漏洞（CVE-2017-12616）

• 当 Tomcat 中使用了 VirtualDirContext 时，攻击者将能通过发送精心构造的恶意请求，绕过设置的相关安全限制，或是获取到由 VirtualDirContext 提供支持资源的 JSP 源代码。

远程代码执行漏洞（CVE-2017-12615）

1. 当 Tomcat 运行在 Windows 主机上，且启用了 HTTP PUT 请求方法（例如，将 readonly 初始化参数由默认值设置为 false），攻击者将有可能可通过精心构造的攻击请求向服务器上传包含任意代码的 JSP 文件。之后，JSP 文件中的代码将能被服务器执行。

漏洞危害

• 泄露用户代码数据，或用户服务器被攻击者控制

影响版本

1. 信息泄露漏洞（CVE-2017-12616）影响：Apache Tomcat 7.0.0 – 7.0.80
2. 远程代码执行漏洞（CVE-2017-12615）影响： Apache Tomcat 7.0.0 – 7.0.79

修复建议

• 升级至 Apache Tomcat 7.0.81 版本，详细参见官网：http://tomcat.apache.org/download-70.cgi#7.0.81

参考链接

1. http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81
2. http://www.openwall.com/lists/oss-security/2017/09/19/1
3. http://www.openwall.com/lists/oss-security/2017/09/19/2

来自：腾讯云安全微信公众号