漏洞复现 | (CVE-2020-1938)Apache Tomcat AJP文件包含漏洞复现(附POC)

背景

2020年02月20日， 国家信息安全漏洞共享平台(CNVD) 收录了 CNVD-2020-10487 Apache Tomcat文件包含漏洞

Tomcat是由Apache软件基金会属下Jakarta项目开发的Servlet容器，按照Sun Microsystems提供的技术规范，实现了对Servlet和JavaServer Page（JSP）的支持。由于Tomcat本身也内含了HTTP服务器，因此也可以视作单独的Web服务器。

Apache Tomcat会开启AJP连接器,方便与其他Web服务器通过AJP协议进行交互。由于Tomcat本身也内含了HTTP服务器，因此也可以视作单独的Web服务器。此漏洞为文件包含漏洞，攻击者可利用该漏洞读取或包含 Tomcat 上所有 webapp 目录下的任意文件，如：webapp 配置文件、源代码等。

漏洞编号

• CVE-2020-1938
• CNVD-2020-10487

漏洞等级

   高

漏洞影响版本

• Apache Tomcat = 6
• 7 <= Apache Tomcat < 7.0.100
• 8 <= Apache Tomcat < 8.5.51
• 9 <= Apache Tomcat < 9.0.31

漏洞复现

  由于太菜，这里直接用POC复现。关注微信公共号：xie_sec ，回复 CVE-2020-1938 即可得到 POC 链接地址。如果想看漏洞具体详情，传送门：【WEB安全】Tomcat-Ajp协议漏洞分析

漏洞修复建议

1：临时禁用AJP协议端口，在conf/server.xml配置文件中注释掉 

<Connector port="8009" protocol="AJP/1.3"redirectPort="8443" />

2：配置ajp配置中的secretRequired跟secret属性来限制认证

3：官方下载最新版下载地址：

•      https://tomcat.apache.org/download-70.cgi
•      https://tomcat.apache.org/download-80.cgi
•      https://tomcat.apache.org/download-90.cgi
•      Github下载：https://github.com/apache/tomcat/releases

参考文章：【WEB安全】Tomcat-Ajp协议漏洞分析

本文始发于微信公众号（谢公子学安全）：漏洞复现 | (CVE-2020-1938)Apache Tomcat AJP文件包含漏洞复现(附POC)