звесткі аб уразлівасці (CVE-2020-9484) у Apache Tomcat, адчыненай рэалізацыі тэхналогій Java Servlet, JavaServer Pages, Java Expression Language і Java WebSocket. Праблема дазваляе дабіцца выканання кода на серверы праз адпраўку спецыяльна аформленага запыту. Уразлівасць ухіленая ў выпусках Apache Tomcat 10.0.0-M5, 9.0.35, 8.5.55 і 7.0.104.
Для паспяховай эксплуатацыі ўразлівасці атакавалы павінен мець магчымасць кантраляваць змесціва і імя файла на серверы (напрыклад, пры наяўнасці ў дадатку магчымасці загрузкі дакументаў ці малюнкаў). Акрамя таго, напад магчымая толькі на сістэмах, у якіх выкарыстоўваецца PersistenceManager са сховішчам FileStore, у наладах якога параметр sessionAttributeValueClassNameFilter выстаўлены ў значэнне "null" (па змаўчанні, калі не ўжываецца SecurityManager) або абраны слабы фільтр, які дапускае дэсерыялізацыю аб'екта. Атакуючы таксама павінен ведаць ці адгадаць шлях да кантраляванага ім файла, адносна месцазнаходжання сховішчы FileStore.
Крыніца: opennet.ru