時(shí)隔十月發(fā)布的CVE-2016-5425 Apache Tomcat本地提權(quán)漏洞預(yù)警不久，近日Apache Tomcat又被爆出存在遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2016-8735)。
Tomcat是運(yùn)行在Apache上的應(yīng)用服務(wù)器，支持運(yùn)行Servlet/JSP應(yīng)用程序的容器——Tomcat可看作是Apache的擴(kuò)展，不過實(shí)際上Tomcat也可以獨(dú)立于Apache運(yùn)行。
漏洞編號(hào)：
CVE-2016-8735
漏洞概述：
Oracle修復(fù)了JmxRemoteLifecycleListener反序列化漏洞(CVE-2016-3427)。
Tomcat中也使用了JmxRemoteLifecycleListener這個(gè)監(jiān)聽器,但是Tomcat并沒有及時(shí)升級(jí)，所以導(dǎo)致了這個(gè)遠(yuǎn)程代碼執(zhí)行漏洞。
此漏洞在嚴(yán)重程度上被定義為Important，而非Critical，主要是因?yàn)椴捎么薼istener的數(shù)量并不算大，而且即便此listener被利用，此處JMX端口訪問對(duì)攻擊者而言也相當(dāng)不尋常。
影響范圍：
Apache Tomcat 9.0.0.M1 to 9.0.0.M11
Apache Tomcat 8.5.0 to 8.5.6
Apache Tomcat 8.0.0.RC1 to 8.0.38
Apache Tomcat 7.0.0 to 7.0.72
Apache Tomcat 6.0.0 to 6.0.47
修復(fù)方案：
升級(jí)到不受影響的版本，包括了：
Apache Tomcat 9.0.0.M13或更新版本 (Apache Tomcat 9.0.0.M12實(shí)際上也修復(fù)了此漏洞，但并未發(fā)布)；
Apache Tomcat 8.5.8或更新版本 (Apache Tomcat 8.5.7實(shí)際上也修復(fù)了此漏洞，但并未發(fā)布)；
Apache Tomcat 8.0.39或更新版本；
Apache Tomcat 7.0.73或更新版本；
Apache Tomcat 6.0.48或更新版本
漏洞PoC：
Tomcat 8.0.36，conf/server.xml添加配置，添加catalina-jmx-remote.jar包，修改catalina文件配置：
F:\HackTools\EXP>java -cp ysoserial-master-v0.0.4.jar ysoserial.exploit.RMIRegistryExploit localhost 10001 Groovy1 calc.exeRefer：
http://seclists.org/oss-sec/2016/q4/502
https://vulners.com/f5/SOL49820145?utm_source=dlvr.it&utm_medium=twitter
https://marc.ttias.be/varia-announce/2016-11/msg00036.php
在線檢測
目前網(wǎng)藤風(fēng)險(xiǎn)感知系統(tǒng)（riskivy.com）已支持該漏洞檢測。您可以免費(fèi)申請(qǐng)?jiān)囉镁W(wǎng)藤漏洞感知服務(wù)。
- 破界·共生·致遠(yuǎn)——2025易立德新品發(fā)布會(huì)在上海舉辦
- 百度與寧德時(shí)代達(dá)成戰(zhàn)略合作，聚焦無人駕駛與數(shù)智化領(lǐng)域
- 合合信息與中科曙光簽署合作協(xié)議，AI賦能信創(chuàng)產(chǎn)業(yè)升級(jí)
- 英特爾火力全開炮轟AMD和英偉達(dá)：漏洞數(shù)量及危害性“遙遙領(lǐng)先”
- SUSE發(fā)布SUSE Edge Suite 與Edge 3.2 ，助力零售企業(yè)實(shí)現(xiàn)無縫化運(yùn)營
- Gartner：2025年全球IT支出將達(dá)到5.61億美元，同比增長9.8%
- 消息稱去年全球IT支出超過5萬億美元 數(shù)據(jù)中心系統(tǒng)支出大幅增加
- 2025年全球數(shù)據(jù)中心：數(shù)字基礎(chǔ)設(shè)施的演變
- 谷歌押注多模態(tài)AI，BigQuery湖倉一體是核心支柱
- 數(shù)字化轉(zhuǎn)型支出將飆升：到2027年將達(dá)到4萬億美元
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。
