CVE-2020-1938漏洞复现详细描述:
CVE-2020-1938漏洞复现
详细描述:
Apache Tomcat服务器存在文件包含漏洞,攻击者可利用该漏洞读取或包含Tomcat上所有webapp目录下的任意文件,如: webapp配置文件或源代码等。若目标服务器同时存在文件上传功能,攻击者可进一步实现远程代码执行。
漏洞介绍:
2020年1月6日,国家信息安全漏洞共享平台(CNVD) 发布了Apache Tomcat文件包含漏洞(CNVD-2020-10487,对应CVE-2020-1938)。 该漏洞是由于Tomcat AJP协议存在缺陷而导致,攻击者利用该漏洞可通过构造特定参数,读取服务器webapp下的任意文件。若目标服务器同时存在文件上传功能,攻击者可进一步实现远程代码执行。利用方式属于文件包含漏洞。CNVD对该漏洞的综合评级为“高危”。目前,厂商已发布新版本完成漏洞修复。
影响版本:
Apache Tomcat 6
Apache Tomcat 7 < 7.0.10
Apache Tomcat 8 < 8.5.51
Apache Tomcat 9 < 9.0.31
漏洞复现:
poc下载地址:
GitHub地址: https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi
确保8009和8080端口开启
成功读取的是apache-tomcat-8.5.50/webapps/ROOT/WEB-INF /web.xml文件
python CNVD-2020-10487-Tomcat-Ajp-lfi.py 10.xX.XX.XX -p 8009 -f WEB-INF/web.xml
漏洞修护:
1、目前,Apache官方已发布9.0.31、8.5.51及7.0.100版本对此漏洞进行修复,CNVD建议用户尽快升级新版本或采取临时缓解措施:
2、如未使用 Tomcat AJP 协议,可以直接将 Tomcat 升级到 9.0.31、8.5.51或 7.0.100 版本进行漏洞修复。如无法立即进行版本更新、或者是更老版本的用户,建议直接关闭AJPConnector,或将其监听地址改为仅监听本机localhost。
3、建议将Tomcat立即升级到9.0.31、8.5.51或7.0.100版本进行修复,同时为AJP Connector配置secret来设置AJP协议的认证凭证。