Apache Tomcat, Java Servlet, JavaServer Pages, Java Expression Language жана Java WebSocket технологияларын ачык ишке ашыруудагы аялуу (CVE-2020-9484) жөнүндө маалымат. Маселе атайын иштелип чыккан суроо-талапты жөнөтүү аркылуу серверде коддун аткарылышына жетишүүгө мүмкүндүк берет. Аялуу Apache Tomcat 10.0.0-M5, 9.0.35, 8.5.55 жана 7.0.104 релиздеринде каралган.
Алсыздыкты ийгиликтүү пайдалануу үчүн чабуулчу сервердеги файлдын мазмунун жана атын көзөмөлдөй алышы керек (мисалы, тиркеме документтерди же сүрөттөрдү жүктөп алуу мүмкүнчүлүгүнө ээ болсо). Мындан тышкары, чабуул FileStore сактагычы менен PersistenceManager колдонгон системаларда гана мүмкүн, анын жөндөөлөрүндө sessionAttributeValueClassNameFilter параметри "нөл" деп коюлган (демейки боюнча, SecurityManager колдонулбаса) же объектке уруксат берүүчү алсыз чыпка тандалган. сериядан чыгаруу. Чабуулчу ошондой эле FileStore жайгашкан жерге салыштырмалуу өзү башкарган файлдын жолун билиши же болжолдоосу керек.
Source: opennet.ru