Apache Tomcat Cluster 不安全配置导致反序列化代码执行漏洞

CVE编号

N/A

利用情况

暂无

补丁情况

N/A

披露时间

2020-12-18

漏洞描述

2020年5月21日，阿里云应急响应中心监测到某安全研究人员披露Apache Tomcat在一定条件下使用自带session同步功能时存在反序列化代码执行漏洞，并在GitHub上公布该漏洞远程命令执行可利用EXP程序，风险较大。

解决建议

漏洞由不安全配置造成，加强配置即可防范漏洞攻击：



1、若Tomcat启用了session同步功能，配置EncryptInterceptor对通信进行加密，使用参考：http://tomcat.apache.org/tomcat-10.0-doc/config/cluster-interceptor.html#org.apache.catalina.tribes.group.interceptors.EncryptInterceptor_Attributes

2、禁止Tomcat集群端点对不可信网络开放（只能防范外网攻击，内网依旧有风险）

参考链接

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A CWE-ID 漏洞类型