摘要:
Apache Tomcat 连接器中的 mod_jk 组件存在 CVE-2023-41081 身份验证绕过漏洞。在特定情况下,例如配置中包含“JkOptions +ForwardDirectories”,但未为所有可能的代理请求提供明确挂载点时,mod_jk 会使用隐式安装映射,并将请求映射到首先定义的工作人员。这种隐式映射可能导致状态工作人员意外暴露和/或绕过 httpd 中配置的安全约束。
修复:
从 JK 1.2.49 版本开始,已删除隐式映射功能,所有映射现在必须通过显式配置进行。只有 mod_jk 受到此问题的影响,ISAPI 重定向器不受影响。建议所有用户将 Apache Tomcat 连接器升级至 1.2.49 版本,该版本已修复此安全问题。
影响范围:
此问题影响 Apache Tomcat 连接器(仅限 mod_jk)版本 1.2.0 到 1.2.48(包括 1.2.48)。
原文始发于微信公众号(Ots安全):CVE-2023-41081:Apache Tomcat 连接器中的高严重性漏洞
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论