发表 有关 Apache Tomcat 中的漏洞 (CVE-2020-9484) 的信息，Apache Tomcat 是 Java Servlet、JavaServer Pages、Java 表达式语言和 Java WebSocket 技术的开放实现。 该问题允许您通过发送专门设计的请求来实现在服务器上执行代码。 该漏洞已在 Apache Tomcat 10.0.0-M5、9.0.35、8.5.55 和 7.0.104 版本中得到解决。
要成功利用此漏洞，攻击者必须能够控制文件的内容和名称。 服务器 （例如，如果应用程序具有上传文档或图像的功能）。此外，这种攻击仅在使用了 PersistenceManager 和 FileStore 存储的系统上才有可能发生，并且这些系统的 sessionAttributeValueClassNameFilter 参数被设置为“null”（默认值，除非使用了 SecurityManager），或者选择了允许对象反序列化的弱过滤器。攻击者还必须知道或猜测到其控制的文件相对于 FileStore 存储位置的路径。
来源： opennet.ru
