Apache Tomcat远程代码执行缝隙安全公告
颁布功夫 2019-04-12缝隙编号和级别
CVE编号：CVE-2019-0232， ，，，，，，，危险级别：高危， ，，，，，，，CVSS分值：官方未评定
影响版本
Apache Tomcat 8.5.0 to 8.5.39
Apache Tomcat 7.0.0 to 7.0.93
缝隙概述
Apache Tomcat是美国阿帕奇（Apache）软件基金会的一款轻量级Web利用服务器。。。。。。。。该法式实现了对Servlet和JavaServer Page（JSP）的支持。。。。。。。。
4月11日， ，，，，，，，Apache官方颁布安全公告， ，，，，，，，由于JRE将号令行参数传递给Windows的方式存在谬误， ，，，，，，，会导致CGI Servlet受到远程执行代码的攻击。。。。。。。。
1. 系统为Windows
2. 启用了CGI Servlet（默以为关关）
3. 启用了enableCmdLineArguments（Tomcat 9.0.*版本及官方将来颁布版本默以为关关）
通常在Apache Tomcat官网下载的装置包名称中会蕴含有当前Tomcat的版本号， ，，，，，，，用户可通过查看解压后的文件夹名称来确定当前的版本。。。。。。。。
若是当前版本在影响领域内， ，，，，，，，且满足缝隙触发的3个前提， ，，，，，，，则当前系统可能存在风险， ，，，，，，，请有关用户实时更新。。。。。。。。
缝隙验证
暂无POC/EXP。。。。。。。。
建复建议
Apache官方还未正式颁布最新建复版本， ，，，，，，，请受影响的用户维持关注， ，，，，，，，官方更新后尽快升级进行防护。。。。。。。。在官方颁布新版本之前， ，，，，，，，用户能够将CGI Servlet初始化参数enableCmdLineArguments设置为false来进行一时防护。。。。。。。。
具体操作步骤如下：
1、在Tomcat装置蹊径的conf文件夹下， ，，，，，，，使用编纂器打开web.xml。。。。。。。。
2、找到enableCmdLineArguments参数部门， ，，，，，，，增长如下配置：
3、沉启Tomcat服务， ，，，，，，，以确保配置生效。。。。。。。。
参考链接
http://tomcat.apache.org/security-8.html
http://tomcat.apache.org/security-9.html
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201904-525
京公网安备11010802024551号