KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-9484 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Apache Tomcat是由Apache软件基金会属下Jakarta项目开发的Servlet容器。攻击者可能可以构造恶意请求，造成反序列化代码执行漏洞。成功利用该漏洞需要同时满足下列四个条件：
1. 攻击者能够控制服务器上文件的内容和名称
2. 服务器PersistenceManager配置中使用了FileStore
3. 服务器PersistenceManager配置中设置了sessionAttributeValueClassNameFilter为NULL，或者使用了其他较为宽松的过滤器，允许攻击者提供反序列化数据对象
4. 攻击者知道使用的FileStore存储位置到可控文件的相对文件路径。
整体利用条件较为苛刻，实际危害相对较低，为彻底防止漏洞潜在风险，KnowSafe应急响应中心仍建议Apache Tomcat用户修复漏洞。
影响范围
应用：apache tomcat（影响面 Up to (including) 7.0.103）
应用：apache tomcat（影响面 Up to (including) 8.5.54）
应用：apache tomcat（影响面 Up to (including) 9.0.34）
应用：apache tomcat（版本 10.0.0）
应用：apache tomcat（版本 9.0.0）
应用：oracle instantis_enterprisetrack（影响面 Up to (including) 17.3）
系统：canonical ubuntu_linux（版本 16.04）
系统：debian debian_linux（版本 10.0）
……另有 11 项受影响环境，详见官方公告
解决方案
修复方案：升级Apache Tomcat至安全版本
参考信息
http://lists.opensuse.org/opensuse-security-announce/2020-05/msg00057.html
http://packetstormsecurity.com/files/157924/Apache-Tomcat-CVE-2020-9484-Proof-Of-Concept.html
http://seclists.org/fulldisclosure/2020/Jun/6
http://www.openwall.com/lists/oss-security/2021/03/01/2
https://kc.mcafee.com/corporate/index?page=content&id=SB10332
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。