Taarifa kuhusu uwezekano wa kuathiriwa (CVE-2020-9484) katika Apache Tomcat, utekelezaji wazi wa Java Servlet, Kurasa za JavaServer, Lugha ya Maonyesho ya Java na teknolojia za Java WebSocket. Shida hukuruhusu kufikia utekelezaji wa nambari kwenye seva kwa kutuma ombi iliyoundwa mahsusi. Athari hii imeshughulikiwa katika matoleo ya Apache Tomcat 10.0.0-M5, 9.0.35, 8.5.55 na 7.0.104.
Ili kutumia vyema uwezekano wa kuathiriwa, mshambuliaji lazima awe na uwezo wa kudhibiti maudhui na jina la faili kwenye seva (kwa mfano, ikiwa programu ina uwezo wa kupakua hati au picha). Kwa kuongezea, shambulio hilo linawezekana tu kwenye mifumo inayotumia PersistenceManager iliyo na hifadhi ya FileStore, katika mipangilio ambayo parameta ya sessionAttributeValueClassNameFilter imewekwa kuwa "null" (kwa chaguo-msingi, ikiwa SecurityManager haitumiki) au kichujio dhaifu kinachoruhusu kitu kimechaguliwa. deerialization. Mshambulizi lazima pia ajue au nadhani njia ya faili anayodhibiti, kuhusiana na eneo la FileStore.
Chanzo: opennet.ru