有關 Apache Tomcat 中漏洞 (CVE-2020-9484) 的信息，Apache Tomcat 是 Java Servlet、JavaServer Pages、Java 表達式語言和 Java WebSocket 技術的開放實作。 該問題允許您透過發送專門設計的請求來實現在伺服器上執行程式碼。 該漏洞已在 Apache Tomcat 10.0.0-M5、9.0.35、8.5.55 和 7.0.104 版本中解決。
要成功利用此漏洞，攻擊者必須能夠控制伺服器上檔案的內容和名稱（例如，如果應用程式能夠下載文件或映像）。 此外，攻擊僅可能在使用帶有 FileStore 儲存的 PersistenceManager 的系統上進行，在該系統中，sessionAttributeValueClassNameFilter 參數設定為「null」（預設情況下，如果未使用 SecurityManager）或選擇允許物件的弱過濾器反序列化。 攻擊者還必須知道或猜測他所控制的檔案相對於 FileStore 位置的路徑。
來源： opennet.ru