Apache Tomcat服务器程序UTF-8目录遍历漏洞---------- 红客中国安全网-红客网络改变世界,创造网络安全新纪元

HKC安全网软件公告

红客中国自主开发的红客网警系列软件将在10月隆重上市，敬请关注。（红客中国反入侵精灵将暂时停止下载）



	漏洞公告
	病毒公告
	安全聚焦
	技术文章

首页 > 安全资讯 > 漏洞公告

Apache Tomcat服务器程序UTF-8目录遍历漏洞

发布日期：2008-09-02 18:01:31 共阅8次

Apache Tomcat是一个流行的开放源码的JSP应用服务器程序。Tomcat处理请求中的编码时存在漏洞，如果在context.xml或server.xml中将allowLinking设置为true且连接器配置为URIEncoding=UTF-8的话，则向Apache Tomcat提交恶意请求就可以通过目录遍历攻击读取服务器上的任意文件，包括/etc/passwd等。

发布日期：2008-08-11

更新日期：2008-08-12

受影响系统：

Apache Tomcat 6.x

Apache Tomcat 5.x

Apache Tomcat 4.x

描述：

----------------------------------------------------------------------------

BUGTRAQ ID: 30633

CVE(CAN) ID: CVE-2008-2938

Apache Tomcat是一个流行的开放源码的JSP应用服务器程序。

Tomcat处理请求中的编码时存在漏洞，如果在context.xml或server.xml中将allowLinking设置为true且连接器配置为URIEncoding=UTF-8的话，则向Apache Tomcat提交恶意请求就可以通过目录遍历攻击读取服务器上的任意文件，包括/etc/passwd等。

<*来源：Simon Ryeo （bar4mi@gmail.com）

链接：http://marc.info/?l=bugtraq&m=121848617930443&w=2

http://tomcat.apache.org/security-6.html

*>

建议：

----------------------------------------------------------------------------

厂商补丁：

Apache

------

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://tomcat.apache.org/security.html