Apache Tomcat安全绕过漏洞（CVE-2018-1305）
发布日期：2018-02-23
更新日期：2018-03-05
受影响系统：
Apache Group Tomcat 8.5.0-8.5.27
Apache Group Tomcat 8.0.0.RC1-8.0.49
Apache Group Tomcat 7.0.0-7.0.84
描述：
BUGTRAQ ID: 103144
CVE(CAN) ID: CVE-2018-1305
Apache Tomcat是一个流行的开源JSP应用服务器程序。
Apache Tomcat 7、8、9多个版本存在安全绕过漏洞。攻击者可以利用这个问题，绕过某些安全限制来执行未经授权的操作，这可能有助于进一步攻击。
<*来源：vendor
链接：https://securitytracker.com/id/1040428
*>
建议：
临时解决方法：
如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：
*触发该漏洞的前提条件是在启动tomcat后，访问父路径“/servlet1”之前，先访问了子路径“/servlet1/servlet2”，从而导致对servlet1的ACL保护没有被servlet2继承，如果先访问了servlet1，Tomcat会加载ACL并对servlet2进行保护。结合该漏洞的特点，可以手动访问一次“/servlet1”强制Tomcat加载ACL，只要Tomcat不重启，ACL保护会一直生效。
请相关用户结合各自业务系统的具体功能，评估父路径“/servlet1”是否可以手动访问后再进行操作，有关该漏洞的详细信息可参考“绿盟科技博客”。
厂商补丁：
Apache Group
------------
Apache官方在新版本Apache Tomcat 9.0.5、8.5.28、8.0.50、7.0.85中修复了该漏洞，请受影响的用户尽快升级，最新版下载链接可参考以下列表，可根据具体的系统环境下载对应的安装包：
版本
下载链接
Apache Tomcat 9.0.5
https://tomcat.apache.org/download-90.cgi
Apache Tomcat 8.5.28
https://tomcat.apache.org/download-80.cgi
Apache Tomcat 8.0.50
https://tomcat.apache.org/download-80.cgi
Apache Tomcat 7.0.85
https://tomcat.apache.org/download-70.cgi
注意：建议用户在升级之前，做好数据和运行环境的备份工作，防止升级带来系统不可用的风险。