ភាពងាយរងគ្រោះនៃការប្រតិបត្តិកូដពីចម្ងាយ Apache Tomcat

បោះពុម្ពផ្សាយ ព័ត៌មានអំពីភាពងាយរងគ្រោះ (CVE-2020-9484) នៅក្នុង Apache Tomcat ដែលជាការអនុវត្តបើកចំហនៃ Java Servlet, JavaServer Pages, Java Expression Language និងបច្ចេកវិទ្យា Java WebSocket ។ បញ្ហាអនុញ្ញាតឱ្យអ្នកសម្រេចបាននូវការប្រតិបត្តិកូដនៅលើម៉ាស៊ីនមេដោយផ្ញើសំណើដែលបានរចនាឡើងជាពិសេស។ ភាពងាយរងគ្រោះត្រូវបានដោះស្រាយនៅក្នុងការចេញផ្សាយ Apache Tomcat 10.0.0-M5, 9.0.35, 8.5.55 និង 7.0.104។

ដើម្បីទាញយកភាពងាយរងគ្រោះដោយជោគជ័យ អ្នកវាយប្រហារត្រូវតែអាចគ្រប់គ្រងខ្លឹមសារ និងឈ្មោះឯកសារនៅលើម៉ាស៊ីនមេ (ឧទាហរណ៍ ប្រសិនបើកម្មវិធីមានលទ្ធភាពទាញយកឯកសារ ឬរូបភាព)។ លើសពីនេះទៀត ការវាយប្រហារគឺអាចធ្វើទៅបានតែលើប្រព័ន្ធដែលប្រើ PersistenceManager ជាមួយនឹងការផ្ទុក FileStore នៅក្នុងការកំណត់ដែលប៉ារ៉ាម៉ែត្រ sessionAttributeValueClassNameFilter ត្រូវបានកំណត់ទៅជា "ទទេ" (តាមលំនាំដើម ប្រសិនបើ SecurityManager មិនត្រូវបានប្រើ) ឬតម្រងខ្សោយត្រូវបានជ្រើសរើសដែលអនុញ្ញាតឱ្យវត្ថុ deserialization ។ អ្នកវាយប្រហារត្រូវតែដឹង ឬទាយផ្លូវទៅកាន់ឯកសារដែលគាត់គ្រប់គ្រង ទាក់ទងទៅនឹងទីតាំងរបស់ FileStore ។

ប្រភព: opennet.ru