一、漏洞描述

Tomcat 是一個(gè)開源的、輕量級(jí)的 Web 應(yīng)用服務(wù)器 和 Servlet 容器。它由 Apache 軟件基金會(huì)下的 Jakarta 項(xiàng)目開發(fā)，是目前最流行的 Java Web 服務(wù)器之一。

該漏洞利用條件較為復(fù)雜，需同時(shí)滿足以下四個(gè)條件：

（1）應(yīng)用程序啟用了 DefaultServlet 寫入功能，該功能默認(rèn)關(guān)閉。

（2）應(yīng)用支持了 partial PUT 請(qǐng)求，能夠?qū)阂獾男蛄谢瘮?shù)據(jù)寫入到會(huì)話文件中，該功能默認(rèn)開啟。

（3）應(yīng)用使用了 Tomcat 的文件會(huì)話持久化并且使用了默認(rèn)的會(huì)話存儲(chǔ)位置，需要額外配置。

（4）應(yīng)用中包含一個(gè)存在反序列化漏洞的庫，比如存在于類路徑下的 commons-collections，此條件取決于業(yè)務(wù)實(shí)現(xiàn)是否依賴存在反序列化利用鏈的庫。

綜上所述，該漏洞實(shí)際利用難度較高，可酌情處置。

二、漏洞風(fēng)險(xiǎn)等級(jí)

漏洞威脅等級(jí)：高危

三、影響范圍

11.0.0-M1 <= Apache Tomcat <= 11.0.2

10.1.0-M1 <= Apache Tomcat <= 10.1.34

9.0.0.M1 <= Apache Tomcat <= 9.0.98

四、修復(fù)建議

1、若啟用了 DefaultServlet，請(qǐng)不要將初始參數(shù) readonly 設(shè)置為 false（該值默認(rèn)為true）。

2、目前官方已發(fā)布安全更新，建議用戶盡快升級(jí)至最新版本：

官方補(bǔ)丁下載地址：

https://tomcat.apache.org/security-11.html

https://tomcat.apache.org/security-10.html

https://tomcat.apache.org/security-9.html

參考鏈接：

https://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq