您的位置:首頁>>移動互聯

“幽靈貓”浮現網絡空間,長亭科技曝Tomcat高危漏洞威脅

發布時間:2020-02-21 15:10:20  來源:互聯網    背景:

  日前,長亭科技安全研究人員全球首次發現了一個存在于流行服務器 Apache Tomcat 中的文件讀取/包含漏洞,并第一時間提交廠商修復。據悉,該漏洞已潛伏十多年之久卻一直未被發現,危害極大并可被攻擊者利用,造成企業大規模數據泄漏。長亭科技安全研究人員將此漏洞命名為“幽靈貓(Ghostcat)”。

  2月14日,Apache Tomcat(以下簡稱 Tomcat) 官方發布安全更新版本,修復漏洞。2月20日,國家信息安全漏洞共享平臺(CNVD)聯合長亭科技發布安全公告,該漏洞綜合評級為高危,漏洞 CVE 編號 CVE-2020-1938。長亭科技已將幽靈貓 (Ghostcat)相關威脅細節公布,提醒廣大企業用戶及時修復,降低風險。

  Tomcat 是當前最流行的 Java 中間件服務器之一,而Java 是目前 Web 開發中最主流的編程語言,從初版發布到現在已經有二十多年歷史,在世界范圍內廣泛使用。此次被發現的幽靈貓(Ghostcat)漏洞,經過研究人員確認,其影響范圍覆蓋全版本默認配置下的 Tomcat,這意味著它在 Tomcat 里已經潛伏了長達十多年的時間。

  據網絡空間搜索引擎FOFA的數據顯示,過去一年內,全球范圍內公網上活躍使用Tomcat軟件的數量近300萬,其中開放的AJP服務端端口數量為40多萬。而這還僅僅是公網數據,如果加上各種企業內網的使用,據不完全統計,受到該漏洞的影響的主機數量可能達到千萬級。

  由于 Tomcat AJP 協議設計上存在缺陷,攻擊者通過 Tomcat AJP Connector 可以讀取或包含 Tomcat 下部署的所有 webapp 的配置文件或 jsp/jar/class 等源碼文件。網站配置文件經常含有諸如數據庫、郵箱服務器賬號密碼等敏感信息,這也就意味著,一旦攻擊者獲取這些信息,就有可能造成整個企業的重要核心數據被竊取。此外,如果網站應用提供文件上傳的功能,攻擊者可以先向服務端上傳一個內容含有惡意 JSP 腳本代碼的文件(上傳的文件本身可以是任意類型的文件,比如圖片、純文本文件等),然后利用 幽靈貓 (Ghostcat )漏洞進行文件包含,從而達到遠程代碼執行,進一步獲取服務器權限等危害。

  “幽靈貓對企業內網安全可造成較大的影響。Web應用或組件的攻擊面大多來自HTTP協議,此次的漏洞發生在AJP協議中,該協議較少引起重視,這使得漏洞對企業內網可能造成的影響變得更加不可控。”長亭科技聯合創始人、首席安全研究員楊坤博士對疫情特殊時期的應急響應表示擔憂。“我們已及時將可靠的解決方案輸出給客戶,并提供免費掃描工具幫助企業及時發現問題,盡量降低在疫情期間人力不足情況導致的安全風險。”

  在楊坤看來,在該漏洞還沒有造成更多損失之前,廣大企業應更多關注攻擊面的收斂工作,盡可能關閉未使用的協議或端口。同時楊坤也提醒廣大企業,已經有研究人員放出漏洞利用的代碼,建議大家盡快針對此漏洞完成應急響應流程。

  針對此次幽靈貓(Ghostcat)漏洞可能造成的安全風險,長亭科技為企業用戶和個人用戶提供在線監測、檢測工具下載應急服務(027-59760362),建議可能受此漏洞影響的企業和個人立即進行有針對性的自查。

特別提醒:本網內容轉載自其他媒體,目的在于傳遞更多信息,并不代表本網贊同其觀點。其原創性以及文中陳述文字和內容未經本站證實,對本文以及其中全部或者部分內容、文字的真實性、完整性、及時性本站不作任何保證或承諾,并請自行核實相關內容。本站不承擔此類作品侵權行為的直接責任及連帶責任。如若本網有任何內容侵犯您的權益,請及時聯系我們,本站將會在24小時內處理完畢。


返回網站首頁 本文來源:互聯網

本文評論
嗶哩嗶哩TV版如何安裝到電視上?當貝市場幾步搞定
很多二次元愛好者或年輕群體喜歡觀看B站內容,但是小屏手機哪比得上大屏電視?現在嗶哩嗶哩也有TV版你...
日期:02-25
天翼云遠程醫療為重癥患者開通24小時“生命快線”
新冠肺炎重癥、危癥患者發病過程短,對重癥、危癥患者集中收治并及時集中優質醫療資源全力救治是降...
日期:02-25
杰和科技無人值守技術再升級,JAHC3.0新功能解析
JAHC是杰和科技經過多年技術積累,結合行業需求自主研發的一套高可靠無人值守系統。該系統能夠在設...
日期:02-25
事務0丟失,華為云數據庫MySQL是如何做到的?
隨著數據上云進程的加快,越來越多企業愿意把云下數據庫搬到云上,同時對云上數據庫的要求也越來越...
日期:02-25
可信云安全認證 金山云應急物資管理系統2.0全新上線,支持捐贈物跟蹤
在新冠肺炎疫情的防控阻擊戰中,科技抗疫開始嶄露頭角,并逐漸發揮了越來越重要的作用。為解決抗疫...
日期:02-25
嵌入式BI案例:生產設備監控中心對接西門子系統,數據可視化助力智能工廠
近日,北京某工業系統集成商采用西安葡萄城自主研發的嵌入式商業智能和報表軟件Wyn Enterprise對接...
日期:02-24
好視通云視頻會議為孝感市教育信息化插上騰飛的翅膀!
今年恰逢新冠病毒全國爆發,湖北省孝感市作為全國第二重災區,孝感市教育局敏銳地意識到疫情的爆發...
日期:02-24
百度地圖推出復工地圖,周邊超市、餐飲、理發等民生小店營業時間速查
隨著多地政府推動企業復工復產,在疫情較輕的地區,一些涉及民生所需的商店和場所已逐步恢復營業。...
日期:02-24
抗“疫”進行時——迪普科技保障醫療信息系統穩定運行
抗“疫” ,省人在行動
  浙江省人民醫院成立于1984年,是集醫療、科研、教學、預...
日期:02-24
騰訊優圖攻克口罩識別難題,口罩佩戴識別準確率超過99%
隨著對抗新冠疫情的戰役正式打響,口罩對控制疫情起到了相當關鍵的作用,但全民佩戴口罩也對諸如高...
日期:02-24
《宅草莓:hi,我也在線》怎么看?分享線上草莓音樂節觀看教程
隨著病毒的持續蔓延,很多線下音樂會、音樂節都紛紛延后或者取消演出,對于很多粉絲而言,已經購買的演...
日期:02-24
滿足抗擊疫情小程序數據需求 友盟+推出小程序統計
疫情當前,全民積極響應國家抗擊新冠肺炎疫情的號召,許多企業及機構為了快速滿足用戶激增的線上“...
日期:02-21
深入統籌科技資源 平安科技構筑科技防疫線
近日,全國各個地區陸續開始復工復產,疫情防范也進入了一個不能放松的新階段??萍计髽I作為防疫的...
日期:02-21
蘇寧紅孩子健康學堂 48場專家直播熱度突破500萬
2月1日至2月28日,蘇寧傾情打造了紅孩子健康學堂,由國內頂尖兒童專家組成的專家團,每天通過蘇寧直...
日期:02-21
“幽靈貓”浮現網絡空間,長亭科技曝Tomcat高危漏洞威脅
日前,長亭科技安全研究人員全球首次發現了一個存在于流行服務器 Apache Tomcat 中的文件讀取/包含...
日期:02-21
官方緊急通知:不得一刀切禁止取件和投遞 全面恢復投遞秩序
疫情來襲非常期間,保證安全的最好辦法就是盡量減少外出機會,所以快遞小哥就成為了許多人少出門的...
日期:02-21
宅家期間遇投資、貸款騙局?騰訊手機管家助力手機信息財產安全
宅家期間接到陌生人電話你會怎么辦,是不是比平時更傾向于和對方聊兩句?小店老板王女士便接到了陌生...
日期:02-21
百度地圖推出全景看武漢、云旅游服務,以AI之名堅定抗疫信念
這個冬天,突如其來的新冠肺炎疫情讓全國人民的心都與武漢緊緊聯系起來。這座最早被鐘南山院士稱為&ldqu...
日期:02-20
美國 Dish 運營商宣布 5G 網絡將采用 open RAN 架構
據外媒報道,美國有線電視運營商Dish Network董事長Charlie Ergen透露,該公司將在未來的5G網絡中使...
日期:02-20
  專欄介紹
王涵 的專欄
王涵發表的文章
積分:
自我介紹 :
神机策配资