在 Tomcat servlet 和 JSP 引擎中发现多个安全漏洞。

警告：CVE-2020-1938 的修复程序可能会中断依赖工作 AJP 配置的服务。现在，选项 secretRequired 默认为 true。您应在 server.xml 中设置密码，或者通过将 secretRequired 设置为 false 来恢复。

CVE-2019-17563

当使用具有 Apache Tomcat 的 FORM 身份验证时，存在一个窄窗口，攻击者可在此执行会话固定攻击。该窗口被认为太窄，不适于实际进行恶意利用，但是谨慎起见，还是将此问题视为安全漏洞。

CVE-2020-1935

在 Apache Tomcat 中，解析代码的 HTTP 标头使用了一种行尾解析方法，该方法允许某些无效 HTTP 标头解析为有效。如果 Tomcat 位于反向代理后面，而反向代理以特定方式错误地处理了无效的传输编码标头，则可能导致 HTTP 请求走私。此种反向代理被认为是不可能的。

CVE-2020-1938

当使用 Apache JServ Protocol (AJP) 时，当信任 Apache Tomcat 的传入连接时必须谨慎。Tomcat 将 AJP 连接视为比类似的 HTTP 连接（例如）具有更高的信任度。如果攻击者可使用此类连接，则他们会以惊人的方式利用此类连接。之前的 Tomcat 附带有默认已启用的 AJP 连接器，该连接器侦听所有配置的 IP 地址。预期（安全指南中建议）此连接器将在不需要的时候禁用。
. 请注意，Debian 已默认禁用 AJP 连接器。
仅当 AJP 端口可供不受信任的用户访问时才需要缓解。

CVE-2020-9484

当使用 Apache Tomcat 时，如果出现以下情况：a) 攻击者能够控制服务器上文件的内容和名称；b) 服务器配置为将 PersistenceManager 与 FileStore 一起使用；c) 为 PersistenceManager 配置了 sessionAttributeValueClassNameFilter='null'（未使用 SecurityManager 时，此为默认值）或者不太严格的过滤器，允许对攻击者提供的对象进行反序列化；d) 攻击者知道从 FileStore 使用的存储位置到其控制的文件的相对文件路径，则在使用特别构建的请求的情况下，该攻击者将能够通过反序列化其控制的文件来触发远程代码执行。请注意，从 a) 到 d) 的所有条件都必须为 true，攻击才能成功。

对于 Debian 8“Jessie”，已在版本 8.0.14-1+deb8u17 中修复这些问题。

我们建议您升级 tomcat8 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

检测

Debian DLA-2209-1：tomcat8 安全更新

critical Nessus 插件 ID 136951

版本 1.9