校园网用户:

近日，国家信息安全漏洞共享平台发布了Apache Tomcat服务器存在文件包含漏洞（CNVD-2020-10487）。由于Tomcat本身也内含了HTTP服务器，因此也可以视作单独的Web服务器。这也表示攻击者可利用该漏洞读取或包含Tomcat上所有webapp目录下的任意文件，如：webapp配置文件或源代码等。请校园网用户及时关注Tomcat版本更新。做好资产自检和预防工作，以免遭受攻击。

一、漏洞情况分析

Tomcat是Servlet容器，实现了对Servlet和JavaServer Page（JSP）的支持，作为一个免费的开放源代码的Web应用服务器，被普遍使用在轻量级Web应用服务的构架中。此次存在的文件包含漏洞是由于Tomcat AJP协议存在实现缺陷导致相关参数可控，攻击者利用该漏洞可通过构造特定参数，读取服务器webapp下的任意文件。若服务器端同时存在文件上传功能，攻击者可进一步实现远程代码的执行。CNVD对该漏洞的综合评级为“高危”。

二、漏洞影响范围

Apache Tomcat 6

Apache Tomcat 7 < 7.0.100

Apache Tomcat 8 < 8.5.51

Apache Tomcat 9 < 9.0.31

三、解决方案

目前，Apache官方已发布9.0.31、8.5.51及7.0.100版本对此漏洞进行修复，建议用户尽快升级新版本。

对于已经停止维护的Apache Tomcat 6，请升级到最新受支持的 Tomcat 版本以免遭受漏洞影响。

网络信息管理中心

2020年2月21日

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2020-10487；

https://www.cnvd.org.cn/webinfo/show/5415；

https://github.com/apache/tomcat；