大家早上有在补 Tomcat 漏洞吗?

[lqw3030]

• 亲手测试了下，确实是配置文件能直接被读取到，挺危险的
• 主要针对 AJP 链接器的，紧急的话可以先把 AJP 连接器注释掉，或者更换 tomcat 版本

<!-- Define an AJP 1.3 Connector on port 8009 -->
    <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />

参考： Apache Tomcat 服务器存在文件包含漏洞

[pmispig]

现在还有人用 ajp ？？

[hantsy]

ajp 好久没有弄了，是给 Apache Module 连接的吗？

[hantsy]

果然是，https://httpd.apache.org/docs/2.4/mod/mod_proxy_ajp.html。 好多年没有用了，都忘记了。

[qyvlik]

https://github.com/docker-library/tomcat/commit/c94a988c9e74d6a60247e4671a84c95a47d627c9
docker 的 openjdk 版 tomcat 十来天前就更新到 8.5.51

[seraphv3]

防火墙并没有把 AJP 端口开放出去

[jason19659]

Traceback (most recent call last):
File "a.py", line 295, in <module>
t = Tomcat(args.target, args.port)
File "a.py", line 262, in __init__
self.stream = self.socket.makefile("rb", bufsize=0)
TypeError: makefile() got an unexpected keyword argument 'bufsize'

[sumarker]

没用 tomcat- -

[letitbesqzr]

看了下目前部署的，老项目防火墙都没允许该端口，新项目都是 spring boot，不会开启 ajp 了