【漏洞预警】Apache Tomcat Cluster 不安全配置导致反序列化代码执行漏洞

  • A+
所属分类:安全漏洞

2020年5月21日,监测到某安全研究人员披露Apache Tomcat在一定条件下使用自带session同步功能时存在反序列化代码执行漏洞,并在GitHub上公布该漏洞远程命令执行可利用EXP程序,风险较大。

【漏洞预警】Apache Tomcat Cluster 不安全配置导致反序列化代码执行漏洞

漏洞描述

Apache Tomcat是由Apache软件基金会属下Jakarta项目开发的Servlet容器。当Apache Tomcat集群使用了自带session同步功能,并且没有使用EncryptInterceptor,或者处于不可信的网络环境中,攻击者可能可以构造恶意请求,造成反序列化代码执行漏洞。目前网络上已披露相关利用代码,实际利用需要相关JDK版本支持以及Tomcat Session同步端点可访问。提醒Apache Tomcat用户尽快排查Cluster相关配置是否安全以防止漏洞攻击。


安全建议


漏洞由不安全配置造成,加强配置即可防范漏洞攻击:



1、若Tomcat启用了session同步功能,配置EncryptInterceptor对通信进行加密,使用参考:http://tomcat.apache.org/tomcat-10.0-doc/config/cluster-interceptor.html#org.apache.catalina.tribes.group.interceptors.EncryptInterceptor_Attributes

2、禁止Tomcat集群端点对不可信网络开放(只能防范外网攻击,内网依旧有风险)


不安全配置类似example:


<Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster">
<Channel className="org.apache.catalina.tribes.group.GroupChannel">
<Receiver className="org.apache.catalina.tribes.transport.nio.NioReceiver"
address="0.0.0.0"
port="5000"
selectorTimeout="100"
maxThreads="6"/>
</Channel>
</Cluster>




相关链接

https://github.com/threedr3am/tomcat-cluster-session-sync-exp

http://tomcat.apache.org/tomcat-10.0-doc/cluster-howto.html

http://tomcat.apache.org/tomcat-9.0-doc/cluster-howto.html

http://tomcat.apache.org/tomcat-8.5-doc/cluster-howto.html

http://tomcat.apache.org/tomcat-7.0-doc/cluster-howto.html


本文始发于微信公众号(飓风网络安全):【漏洞预警】Apache Tomcat Cluster 不安全配置导致反序列化代码执行漏洞

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: