時隔十月發(fā)布的CVE-2016-5425 Apache Tomcat本地提權(quán)漏洞預(yù)警不久，近日Apache Tomcat又被爆出存在遠程代碼執(zhí)行漏洞(CVE-2016-8735)陨倡。
Tomcat是運行在Apache上的應(yīng)用服務(wù)器萍嬉，支持運行Servlet/JSP應(yīng)用程序的容器——Tomcat可看作是Apache的擴展导街，不過實際上Tomcat也可以獨立于Apache運行。
# fdfdfasf
漏洞編號：
CVE-2016-8735
漏洞概述：
Oracle修復(fù)了JmxRemoteLifecycleListener反序列化漏洞(CVE-2016-3427)。
Tomcat中也使用了JmxRemoteLifecycleListener這個監(jiān)聽器,但是Tomcat并沒有及時升級肺魁，所以導(dǎo)致了這個遠程代碼執(zhí)行漏洞呵扛。
此漏洞在嚴(yán)重程度上被定義為Important每庆，而非Critical，主要是因為采用此listener的數(shù)量并不算大今穿，而且即便此listener被利用缤灵，此處JMX端口訪問對攻擊者而言也相當(dāng)不尋常。
影響范圍：
Apache Tomcat 9.0.0.M1 to 9.0.0.M11
Apache Tomcat 8.5.0 to 8.5.6
Apache Tomcat 8.0.0.RC1 to 8.0.38
Apache Tomcat 7.0.0 to 7.0.72
Apache Tomcat 6.0.0 to 6.0.47
修復(fù)方案：
升級到不受影響的版本，包括了：
Apache Tomcat 9.0.0.M13或更新版本 ?(Apache Tomcat 9.0.0.M12實際上也修復(fù)了此漏洞腮出，但并未發(fā)布)帖鸦；
Apache Tomcat 8.5.8或更新版本 ?(Apache Tomcat 8.5.7實際上也修復(fù)了此漏洞，但并未發(fā)布)胚嘲；
Apache Tomcat 8.0.39或更新版本作儿；
Apache Tomcat 7.0.73或更新版本；
Apache Tomcat 6.0.48或更新版本
漏洞PoC：
Tomcat 8.0.36馋劈，conf/server.xml添加配置攻锰，添加catalina-jmx-remote.jar包，修改catalina文件配置：
F:\HackTools\EXP>java -cp ysoserial-master-v0.0.4.jar ysoserial.exploit.RMIRegistryExploit localhost 10001 Groovy1 calc.exe
Refer：
http://seclists.org/oss-sec/2016/q4/502
https://vulners.com/f5/SOL49820145?utm_source=dlvr.it&utm_medium=twitter
https://marc.ttias.be/varia-announce/2016-11/msg00036.php
在線檢測
目前網(wǎng)藤風(fēng)險感知系統(tǒng)（riskivy.com）已支持該漏洞檢測妓雾。您可以免費申請試用網(wǎng)藤漏洞感知服務(wù)娶吞。
* 轉(zhuǎn)載請注明來自FreeBuf.COM
