Java 是目前 Web 開發中最主流的編程語言，而 Tomcat 是當前最流行的 Java 中間件服務器之一，從初版發布到現在已經有二十多年歷史，在世界范圍內廣泛使用。

此次被發現的Ghostcat漏洞，經研究人員確認，其影響范圍覆蓋全版本默認配置下的 Tomcat，這意味著它在 Tomcat 里已經潛伏了長達十多年的時間。

Ghostcat（幽靈貓）漏洞，編號為CVE-2020-1938，影響開源Java Servlet容器的版本6、7、8和9。

由于 Tomcat AJP 協議設計上存在缺陷，攻擊者通過 Tomcat AJP Connector 可以讀取或包含 Tomcat 下部署的所有 webapp 的配置文件或 jsp/jar/class 等源碼文件。網站配置文件經常含有諸如數據庫、郵箱服務器賬號密碼等敏感信息，這也就意味著，一旦攻擊者獲取這些信息，就有可能造成整個企業的重要核心數據被竊取。此外，如果網站應用提供文件上傳的功能，攻擊者可以先向服務端上傳一個內容含有惡意 JSP 腳本代碼的文件（上傳的文件本身可以是任意類型的文件，比如圖片、純文本文件等），然后利用 幽靈貓 （Ghostcat ）漏洞進行文件包含，從而達到遠程代碼執行，進一步獲取服務器權限等危害。

該漏洞是由網絡安全公司Chaitin Tech的研究人員發現的，已于1月3日報告給Apache軟件基金會。

2月11日、14日，Tomcat 官方已發布 9.0.31、8.5.51 及 7.0.100 版本針對此漏洞進行修復。

在Apache Tomcat上運行的Web服務器，應立即安裝最新可用版本，以防止黑客對其進行未授權控制。

如果未使用 Tomcat AJP 協議，可以直接將 Tomcat 升級到 9.0.31、8.5.51 或 7.0.100 版本進行漏洞修復。如果服務器環境中使用到了 Tomcat AJP 協議，則建議將 Tomcat 升級到 9.0.31、8.5.51 或 7.0.100 版本，同時為 AJP Connector 配置 secret 來設置 AJP 協議認證憑證。

本文綜合整理自媒體報道。

及時掌握網絡安全態勢 盡在傻蛋網絡安全監測系統

【網絡安全監管部門】免費試用

本文來源:

如涉及侵權，請及時與我們聯系，我們會在第一時間刪除或處理侵權內容。
電話：400-869-9193 負責人：張明