2月20日，國家信息安全漏洞共享平臺（CNVD）發佈了一則關於Apache Tomcat存在文件包含漏洞的安全公告（CNVD-2020-10487，對應CVE-2020-1938）。
綠盟科技安全研究團隊第一時間對此次漏洞進行研究，並緊急上線了在線檢測工具。
您可以登陸綠盟雲https://cloud.nsfocus.com，進入“漏洞威脅-緊急漏洞”，按要求輸入待檢測的站點信息，點擊“立即檢測”即可。
漏洞綜述
2月20日，國家信息安全漏洞共享平臺（CNVD）發佈了一則關於Apache Tomcat存在文件包含漏洞的安全公告。公告中表示，存在於Apache Tomcat中的文件包含漏洞（CNVD-2020-10487，對應CVE-2020-1938）可使攻擊者在未授權的情況下遠程讀取特定目錄下的任意文件。漏洞源於Tomcat AJP協議實現中的缺陷，使得相關參數可控。攻擊者通過向AJP協議端口（默認8009）發送精心構造的數據，可讀取服務器webapp目錄下的任意文件，比如配置文件、源代碼等。而且如果服務器端有文件上傳功能，那麼攻擊者還可能進一步實現遠程代碼的執行。
參考鏈接：
https://www.cnvd.org.cn/webinfo/show/5415
影響範圍
受影響產品版本：
Tomcat 6 (已不受維護)
Tomcat 7 Version < 7.0.100
Tomcat 8 Version < 8.5.51
Tomcat 9 Version < 9.0.31
不受影響產品版本：
Tomcat 7 Version >= 7.0.100
Tomcat 8 Version >= 8.5.51
Tomcat 9 Version >= 9.0.31
解決方案
Apache官方已經發布新版本修復了該漏洞，請受影響的用戶儘快升級進行防護，無法立即進行更新的用戶可參考 CNVD通告採取臨時緩解措施。
https://github.com/apache/tomcat/releases
http://tomcat.apache.org/
CNVD 通告：
https://www.cnvd.org.cn/webinfo/show/5415
閱讀更多 安全牛 的文章
