背景
系统漏洞扫描程序在Tomcat版本中发现了一个安全绕过漏洞。百度搜索了该漏洞的信息:
Apache Tomcat中存在安全绕过漏洞。攻击者可以通过使用恶意的Web应用程序来利用此漏洞，从而绕过安全限制。以下版本受到影响:Apach Tomcat 9.0.0.M1到9.0.0.M9，8.5.0到8.5.4，8.0.0.RC1到8.0.36，7.0.0到7.0.70，6.0.0。
官网修复日志
如何找出该漏洞的最新修复版本？应用搜索技巧，我们知道漏洞号是“CVE-2018-1305”，所以可以百度搜索以下关键词:
CVE-2018-1305 inurl:Tomcat . Apache . org
这种漏洞修复日志，当然是属于官网的，信息是最准确的，所以搜索的时候仅限于官网，通过高级搜索命令inurl来限定搜索网站的范围就足够了。
点击搜索结果的第一项，查看各版本对此漏洞的修复状态:
Apache漏洞修复描述
在这个页面上全球搜索“CVE-2018-1305 ″，我们可以看到8.5版本的最新修复版本是8.5.28，所以如果我们使用的是Tomcat版本，只需要更新到8.5.32版本即可。
Tomcat版本信息
Tomcat的目录中有一个描述版本信息的RELEASE-NOTES文件，但这是一个描述文件。实际查看版本信息的命令是catalina . sh version . Tomcat 8 . 5 . 23版还有一个缺陷，就是版本号信息不正确。我们执行命令:
bin/.catalina.sh版本
最终版本信息为8.0.0，截图信息如下:
该漏洞存在于一个ServerInfo.properties配置文件中，该文件的路径为:
版本8.5.23的此配置文件的内容不正确。在这个文件与版本一致后执行版本查看命令是正确的。
天启
随着网络安全形势的日益严峻，我们应该时刻关注Tomcat的漏洞。这个版本是去年的最新版本，仅仅一年后，Tomcat又发布了几个新版本。迭代速度出乎意料。
对于已经验证的漏洞，我们需要将应用使用的Tmcat时间更新到最新版本，以保证应用的安全性。
本文来自我要无比强大投稿，不代表舒华文档立场，如若转载，请注明出处：https://www.chinashuhua.cn/24/631564.html
微信扫一扫 
