有关 Apache Tomcat 中的漏洞 (CVE-2020-9484) 的信息，Apache Tomcat 是 Java Servlet、JavaServer Pages、Java 表达式语言和 Java WebSocket 技术的开放实现。 该问题允许您通过发送专门设计的请求来实现在服务器上执行代码。 该漏洞已在 Apache Tomcat 10.0.0-M5、9.0.35、8.5.55 和 7.0.104 版本中得到解决。
要成功利用此漏洞，攻击者必须能够控制服务器上文件的内容和名称（例如，如果应用程序能够下载文档或图像）。 此外，攻击仅可能在使用带有 FileStore 存储的 PersistenceManager 的系统上进行，在该系统中，sessionAttributeValueClassNameFilter 参数设置为“null”（默认情况下，如果未使用 SecurityManager）或选择允许对象的弱过滤器反序列化。 攻击者还必须知道或猜测他所控制的文件相对于 FileStore 位置的路径。
来源： opennet.ru