1、介绍
Tomcat 运行在 Windows 主机上,且启用了 HTTP PUT 请求方法,可通过构造的攻击请求向服务器上传包含任意代码的 JSP 文件,造成任意代码执行。
影响版本:Apache Tomcat 7.0.0 – 7.0.81
2、测试
(1)vulhub存有该漏洞的靶场
3、修复方案:
(1)配置readonly和VirtualDirContext值为True或注释参数,禁止使用PUT方法并重启tomcat
注意:如果禁用PUT方法,对于依赖PUT方法的应用,可能导致业务失效。
(2)根据官方补丁升级最新版本