码迷,mamicode.com
首页 > 其他好文 > 详细

Apache警告:Tomcat存在远程代码执行漏洞

时间:2014-09-15 18:01:29      阅读:295      评论:0      收藏:0      [点我收藏+]

标签:style   http   color   io   os   java   ar   文件   2014   

bubuko.com,布布扣

开源WEB容器–Apache+Tomcat老版本很容易受到远程代码执行的攻击。Mark Thomas,一位长期致力于Apache+Tomcat的工作者称“在某种情况下,用户可以上传恶意JSP文件到Tomcat服务器上运行,然后执行命令。JSP的后门可以用来在服务器上任意执行命令。”

Thomas今日发出警告称,Tomcat版本7.0.0和7.3.9在发布补丁之前是脆弱的。利用漏洞(CVE-2014-4444)可执行远程代码执行攻击。上周VMware安全工程部,通信与响应小组(vSECR)的Pierre Ernst挖掘出了这个漏洞。

但官方同时也表示,这个漏洞谈起来容易,但实施攻击有难度。攻击者必须达成的一定条件——其中包括:Oracle Java 1.7.0 update 25,或者Tomcat中的更早的脆弱版本。值得一提的是,该系统的文件路径必须保证可写,而JMX环境的自定义侦听器必须配置且绑定到本地localhost以外的地址。正因为这些限制,Tomcat的安全团队把该漏洞从严重降级为重要,严重程度往往与远程执行漏洞相关。

Apache团队鼓励用户升级到Tomcat7.0.40,或者将他们的Oracle Java升级到1.7.0来减轻危害,要不然就只能等到以后再修补它了。转


Apache警告:Tomcat存在远程代码执行漏洞

标签:style   http   color   io   os   java   ar   文件   2014   

原文地址:http://my.oschina.net/safedog/blog/313752

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!