国产成人毛片毛片久久网_国产午夜激无码av毛片不_国产乱对白精彩在线播放_av资源站中文字幕_亚洲男人的天堂网站_国产成 人 综合 亚洲网_中国国产激情一区_少妇一级淫片免费放_亚洲一本大道av久在线播放_免费观看美女裸体网站

周末檢測(cè)到針對(duì)Ghostcat漏洞未修補(bǔ)的Apache Tomcat服務(wù)器的持續(xù)掃描，該漏洞使?jié)撛诘墓�擊者可以接管服�?wù)器。

正如網(wǎng)絡(luò)威脅情報(bào)公司Bad Packets 在周六所說(shuō)的那樣，“針對(duì)此漏洞的大規(guī)模掃描活動(dòng)已經(jīng)開始。立即修補(bǔ)！”

Ghostcat是一個(gè)高風(fēng)險(xiǎn)文件讀取/包含漏洞，其跟蹤為CVE-2020-1938，并且存在于版本6.x和9.x之間的Apache Tomcat的Apache JServ協(xié)議（AJP）中。

使用Apache Tomcat開發(fā)者已經(jīng)發(fā)布的版本7.0.100，51年5月8日，和9.0.31修補(bǔ)漏洞，但是，6.x版的用戶必須升級(jí)到新的版本，因?yàn)檫@個(gè)分支已經(jīng)達(dá)到最終OF-支持，并且不再更新-6.x的最新更新于2017年4月7日發(fā)布。

默認(rèn)情況下，所有未打補(bǔ)丁的Apache Tomcat 6、7、8和9安裝均附帶啟用AJP連接器，并偵聽端口8009上所有已配置的服務(wù)器IP地址。

可用的概念驗(yàn)證漏洞

成立說(shuō)，證明的概念攻擊已經(jīng)由安全研究人員在GitHub（共享1，2，3，4，5）。

如果您不能立即將服務(wù)器更新或升級(jí)到修補(bǔ)的Tomcat版本，Chaitin Tech的研究團(tuán)隊(duì)建議完全禁用AJP連接器（如果未積極使用）或配置AJP連接器的requiredSecret屬性以設(shè)置身份驗(yàn)證憑據(jù)。

Chaitin Tech還提供了一個(gè)安全評(píng)估工具，可以幫助您發(fā)現(xiàn)容易受到針對(duì)網(wǎng)絡(luò)上Ghostcat攻擊的Tomcat服務(wù)器。

據(jù)Shodan稱，目前可以通過(guò)Internet訪問(wèn)超過(guò)890,000臺(tái)Tomcat服務(wù)器，而BinaryEdge發(fā)現(xiàn)了超過(guò)一百萬(wàn)臺(tái)。

下表列出了受影響的Apache Tomcat版本以及Ghostcat漏洞已修復(fù)的版本。

可能導(dǎo)致服務(wù)器接管的嚴(yán)重缺陷

開發(fā)人員解釋說(shuō)： “ Tomcat將AJP連接視為比例如類似的HTTP連接具有更高的信任度�！� “如果攻擊者可以使用這種連接，則可以以令人驚訝的方式利用它們�！�

中國(guó)安全機(jī)構(gòu)Chaitin Tech的研究人員詳細(xì)發(fā)現(xiàn)了該錯(cuò)誤，成功利用未打補(bǔ)丁的Tomcat服務(wù)器后，“攻擊者可以讀取Tomcat上部署的所有Web應(yīng)用程序的配置文件和源代碼文件的內(nèi)容�！�

“此外，如果網(wǎng)站應(yīng)用程序允許用戶上傳文件，則攻擊者可以先將包含惡意JSP腳本代碼的文件上傳到服務(wù)器（上傳的文件本身可以是任何類型的文件，例如圖片，純文本文件等）。 ，然后利用Ghostcat漏洞包含上載的文件，該漏洞最終可能導(dǎo)致遠(yuǎn)程執(zhí)行代碼�！�

根據(jù)Snyk和Red Hat的說(shuō)法，Tomcat還附帶了使用Spring Boot Java框架以及其他基于Java的服務(wù)器和框架（包括但不限于JBoss Web服務(wù)器（JWS）和JBoss企業(yè)應(yīng)用程序平臺(tái)（EAP））構(gòu)建的應(yīng)用程序。ZDNet報(bào)道。