剛剛，綠盟雲針對Apache Tomcat檔案包含漏洞的線上檢測正式上線

2月20日，國家資訊保安漏洞共享平臺（CNVD）釋出了一則關於Apache Tomcat存在檔案包含漏洞的安全公告（CNVD-2020-10487，對應CVE-2020-1938）。

綠盟科技安全研究團隊第一時間對此次漏洞進行研究，並緊急上線了線上檢測工具。

您可以登陸綠盟雲https://cloud.nsfocus.com，進入“漏洞威脅-緊急漏洞”，按要求輸入待檢測的站點資訊，點選“立即檢測”即可。

漏洞綜述

2月20日，國家資訊保安漏洞共享平臺（CNVD）釋出了一則關於Apache Tomcat存在檔案包含漏洞的安全公告。公告中表示，存在於Apache Tomcat中的檔案包含漏洞（CNVD-2020-10487，對應CVE-2020-1938）可使攻擊者在未授權的情況下遠端讀取特定目錄下的任意檔案。漏洞源於Tomcat AJP協議實現中的缺陷，使得相關引數可控。攻擊者通過向AJP協議埠（預設8009）傳送精心構造的資料，可讀取伺服器webapp目錄下的任意檔案，比如配置檔案、原始碼等。而且如果伺服器端有檔案上傳功能，那麼攻擊者還可能進一步實現遠端程式碼的執行。

參考連結：

https://www.cnvd.org.cn/webinfo/show/5415

影響範圍

受影響產品版本：

Tomcat 6 (已不受維護)

Tomcat 7 Version < 7.0.100

Tomcat 8 Version < 8.5.51

Tomcat 9 Version < 9.0.31

不受影響產品版本：

 Tomcat 7 Version >= 7.0.100

 Tomcat 8 Version >= 8.5.51

 Tomcat 9 Version >= 9.0.31

解決方案

Apache官方已經發布新版本修復了該漏洞，請受影響的使用者儘快升級進行防護，無法立即進行更新的使用者可參考 CNVD通告採取臨時緩解措施。

新版本下載地址：

 https://github.com/apache/tomcat/releases

http://tomcat.apache.org/

 CNVD 通告：

https://www.cnvd.org.cn/webinfo/show/5415