Khai thác lỗ hổng remote code trong Apache Tomcat (CVE-2017-12615)

[DDos]

Ngày 19/9, Apache đã phát hành bản vá bảo mật để vá lỗ hổng nghiêm trọng trong Apache Tomcat. Lỗ hổng này cho phép kẻ xấu có thể upload webshell lên webserver.

​

Các phiên bản bị ảnh hưởng

• Apache Tomcat 7.0.0 - 7.0.79.

Chi tiết về lỗ hổng

Khi Apache Tomcat chạy trên windows, HTTP PUTs được cho phép (theo mặc định). Điều này dẫn tới việc có thể tải lên một JSP file độc hại tới server thông qua HTTP PUT request. Bằng việc gọi file JSP đã được upload này, kẻ xấu có thể thực hiến bất kỳ lệnh nào trên webserver.

Chú ý: Trên thực tế, các phiên bản Apache Tomcat 8x hoặc 9x, nếu HTTP PUT method được cho phép, kẻ xấu cũng có thể lợi dụng để tải file độc hại lên webserver.

Cách khắc phục

• Vô hiệu hóa HTTP PUT

Cấu hình org.apache.catalina.servlets.DefaultServlet trong file Tomcat web.xml

<init-param> <param-name>readonly</param-name> <param-value>true</param-value> </init-param>

• Cập nhật lên phiên bản Apache Tomcat mới hơn

Cách khai thác lỗ hổng

 

Up được trong trường hợp ko đặt authen thôi đúng ko anh?

 

Mình tìm hiểu thì không thấy nói về vấn đề này. Nhưng nếu server cho phép HTTP PUT method thì cũng nên up thử...

 

Up được trong trường hợp ko đặt authen thôi đúng ko anh?

Không cần đâu nhé. Cứ enable PUT và phiên bản lỗi là die. Linux nó không enable mặc định, nhưng enable lên thì cũng dính tương tự.

 

sao video mình coi không được vậy

 

sao video mình coi không được vậy

Đã cập nhật lại video.