【重要】CVE-2020-1938:Apache Tomcat服务器文件包含漏洞安全风险通告

近日， CNVD发布漏洞公告，对应CNVD漏洞编号：CNVD-2020-10487、CVE漏洞编号：CVE-2020-1938。CNVD-2020-10487称Apache Tomcat服务器存在文件包含漏洞，Apache Tomcat AJP协议（默认8009端口）由于存在实现缺陷导致相关参数可控，攻击者利用该漏洞可通过构造特定参数，读取服务器webapp目录下的任意文件。若服务器端同时存在文件上传功能，攻击者可进一步结合文件包含实现远程代码的执行。

目前此漏洞的PoC和EXP已经在互联网公开和传播，有被恶意利用的可能。鉴于漏洞危害较大，建议业务系统尽快升级到最新版本或采取临时缓解措施。

漏洞影响范围

漏洞影响的产品版本包括：

Tomcat 6.*

Tomcat 7.* < 7.0.100

Tomcat 8.* < 8.5.51

Tomcat 9.* < 9.0.31

处置建议

目前，Apache官方已发布9.0.31、8.5.51及7.0.100版本对此漏洞进行修复，建议用尽快升级新版本：

https://tomcat.apache.org/download-70.cgi

https://tomcat.apache.org/download-80.cgi

https://tomcat.apache.org/download-90.cgi

高效处理：不装tomcat！哈哈哈哈