時(shí)隔十月發(fā)布的CVE-2016-5425 Apache Tomcat本地提權(quán)漏洞預(yù)警不久，近日Apache Tomcat又被爆出存在遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2016-8735)。
Tomcat是運(yùn)行在Apache上的應(yīng)用服務(wù)器，支持運(yùn)行Servlet/JSP應(yīng)用程序的容器——Tomcat可看作是Apache的擴(kuò)展，不過(guò)實(shí)際上Tomcat也可以獨(dú)立于Apache運(yùn)行。
漏洞編號(hào)：
CVE-2016-8735
漏洞概述：
Oracle修復(fù)了JmxRemoteLifecycleListener反序列化漏洞(CVE-2016-3427)。
Tomcat中也使用了JmxRemoteLifecycleListener這個(gè)監(jiān)聽器,但是Tomcat并沒有及時(shí)升級(jí)，所以導(dǎo)致了這個(gè)遠(yuǎn)程代碼執(zhí)行漏洞。
此漏洞在嚴(yán)重程度上被定義為Important，而非Critical，主要是因?yàn)椴捎么薼istener的數(shù)量并不算大，而且即便此listener被利用，此處JMX端口訪問(wèn)對(duì)攻擊者而言也相當(dāng)不尋常。
影響范圍：
Apache Tomcat 9.0.0.M1 to 9.0.0.M11
Apache Tomcat 8.5.0 to 8.5.6
Apache Tomcat 8.0.0.RC1 to 8.0.38
Apache Tomcat 7.0.0 to 7.0.72
Apache Tomcat 6.0.0 to 6.0.47
修復(fù)方案：
升級(jí)到不受影響的版本，包括了：
Apache Tomcat 9.0.0.M13或更新版本 (Apache Tomcat 9.0.0.M12實(shí)際上也修復(fù)了此漏洞，但并未發(fā)布)；
Apache Tomcat 8.5.8或更新版本 (Apache Tomcat 8.5.7實(shí)際上也修復(fù)了此漏洞，但并未發(fā)布)；
Apache Tomcat 8.0.39或更新版本；
Apache Tomcat 7.0.73或更新版本；
Apache Tomcat 6.0.48或更新版本
漏洞PoC：
Tomcat 8.0.36，conf/server.xml添加配置，添加catalina-jmx-remote.jar包，修改catalina文件配置：
F:\HackTools\EXP>java -cp ysoserial-master-v0.0.4.jar ysoserial.exploit.RMIRegistryExploit localhost 10001 Groovy1 calc.exeRefer：
http://seclists.org/oss-sec/2016/q4/502
https://vulners.com/f5/SOL49820145?utm_source=dlvr.it&utm_medium=twitter
https://marc.ttias.be/varia-announce/2016-11/msg00036.php
在線檢測(cè)
目前網(wǎng)藤風(fēng)險(xiǎn)感知系統(tǒng)（riskivy.com）已支持該漏洞檢測(cè)。您可以免費(fèi)申請(qǐng)?jiān)囉镁W(wǎng)藤漏洞感知服務(wù)。
- 蜜度索驥：以跨模態(tài)檢索技術(shù)助力“企宣”向上生長(zhǎng)
- Commvault持續(xù)業(yè)務(wù)策略：應(yīng)對(duì)現(xiàn)代數(shù)據(jù)保護(hù)挑戰(zhàn)的新范式
- 2025年網(wǎng)絡(luò)安全主要趨勢(shì)
- 2025年值得關(guān)注的數(shù)據(jù)中心可持續(xù)發(fā)展趨勢(shì)
- 量子計(jì)算火熱，投資者又在大舉尋找“量子概念股”
- 從量子威脅到人工智能防御：2025年網(wǎng)絡(luò)安全將如何發(fā)展
- 后人工智能時(shí)代：2025年，在紛擾中重塑數(shù)據(jù)、洞察和行動(dòng)
- 2025年展望：人工智能推動(dòng)IT整合
- 量子計(jì)算：商業(yè)世界的新前沿與設(shè)計(jì)思維的融合
- IDC：三季度全球以太網(wǎng)交換機(jī)收入同比下降7.9%、環(huán)比增長(zhǎng)6.6%
- Fortinet李宏凱：2025年在中國(guó)大陸啟動(dòng)SASE PoP節(jié)點(diǎn)部署 助力企業(yè)出海
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。
