CVE-2018-11784 Tomcat URL跳转漏洞

一、 如何找到对应补丁

打开Tomcat官网版本7首页,可以看到Fixed in Apache Tomcat 7.0.91中修复了该漏洞。 由于fixed页面不能打开,所以我们只能在官方github的commit中查看相关代码。 于是找到了漏洞补丁 通过观察可以看到代码仅修改了java/org/apache/catalina/servlets/DefaultServlet.java

    private void doDirectoryRedirect(HttpServletRequest request, HttpServletResponse response)
            throws IOException {
        StringBuilder location = new StringBuilder(request.getRequestURI());
        location.append('/');
        if (request.getQueryString() != null) {
            location.append('?');
            location.append(request.getQueryString());
        }
        // Avoid protocol relative redirects
        while (location.length() > 1 && location.charAt(1) == '/') {
            location.deleteCharAt(0);
        }
        response.sendRedirect(response.encodeRedirectURL(location.toString()));
    }

doDirectoryRedirect方法中获取URI并在URI后面添加/进行跳转。

二、DefaultServlet说明

我们都知道Jsp和servlet都需要web容器才能运行,但是实际上呢我们的web应用中可以没有任何servlet或者jsp(至少表面上是这样的)只需要一个web.xml。我们可以通过链接来访问应用内的资源文件。例如.jpg,.html,.js这类的静态文件。这就是DefaultServlet的作用了。

在tomat的安装目录下的conf/web.xml中有定义 DefaultServletServlet-Mapping设置为/,即处理一切请求,load-on-startup设置为1,即自启动。所以当tomcat容器启动时访问静态资源即可进入到DefaultServlet方法中。

三、漏洞利用

通过漏洞补丁及DefaultServlet描述,我们可以知道如果请求为//zhutougg.com时,tomcat容器即会发生跳转。但是前题条件是WEB应用中存在一个名为zhutougg.com的文件夹

四、漏洞修复

漏洞影响版本为

Apache Tomcat 9.0.0.M1到9.0.11
Apache Tomcat 8.5.0到8.5.33
Apache Tomcat 7.0.23到7.0.90

修复方案:

  1. 更新Tomcat容器版本至最新版本
  2. WEB应用了自定义servlet,配置servlet-mapping为/。使其覆盖defaultServlet

zhutougg

继续阅读此作者的更多文章