Tomcatに見つかった3つの脆弱性について
はじめに Apache Tomcatに立て続けに見つかったCVE-2017-12615～12617の3つの脆弱性は基本的には同じ原因によるものでした。3つのうち2つは任意のJSPファイルをPUTリクエストでアップロードできてしまい、アップロード後にアクセスすることでJavaのコードが実行できてしまう、というパターンのRCE。残りの1つはJSPがそのまま静的ファイルとしてアクセス可能なためにソースコードが漏洩してしまう、というものです。 今回JPCERT/CCも注意喚起するなど、広く知られることになりましたが、一方でなかなかパッチが提供されないという状況にもなっています。今回はこの脆弱性についての調査を報告します。 readonlyパラメータとは何か JSPがアップロードできてしまうのはreadonlyパラメータがfalseになっている場合です。このパラメータはデフォルトでtrueであり、f
Tomcat RCE CVE-2017-12615, CVE-2017-12617 / Tomcatの一連のRCEの脆弱性について - http80
★CVE-2017-12617 tomcat: Remote Code Execution bypass for CVE-2017-12615 Bugzillaに投げられていますし、SNSにもPoCが出回ってきてますので、本件に関して少し取りまとめます。お決まりのお断りをしておきますが、所属する組織の公式の見解ではないということ、しっかり検証したわけではないので、私個人の見解が誤った見方を示していて、それを鵜呑みにして業務上影響が出ても刺さないでください＞＜✘ 結論から先に書きます。 ・怪しいCVE-2017-12615に対するパッチをBypassするPoCはホンモノ ・Windows以外のOSにも影響する(少なくともmacOS 10.12.6とUbuntu16.04で再現) ・現行のバージョンのTomcatに影響する(最新の7系8系9系は検証しました) ・インストール直後の設定では影響を
Windows Azure websites で Tomcat を無償で運用する - 水まんじゅう2
2016/10/12追記 下記件、ドキュメント外の仕様についても扱ってましたが、2016/10/12時点では、記載されている挙動とは違った動作になるそうです。 (Tomcatにライブラリを追加したい場合のlibのフォルダの位置とか) また、勝手にシャットダウンされる旨記載されていますが、有償でシャットダウンしないオプションも現時点では用意されています。 つまり、以下の記事は古いことが判っているので信頼しないでくださいということです。 2016/10/12追記ここまで - ということで、社内の某氏に焚きつけられたのでWindows Azure Websitesを扱ってみました。 概要はこちらをご参照ください。 Windows Azure の Webサイトで Tomcat, Jetty の稼働をサポート！！！ 上の記事ではとりあえず使ってみたというのが大きかったけれども、それより一歩踏み込んで
How do I set the timezone in Tomcat for a single web app?
What is the best way to set the time zone in Tomcat for a single web app? I've seen options for changing the command-line parameters or environment variables for Tomcat, but is there a way to set it that is self-contained in the WAR file and not dependent on any Tomcat configuration? Edit: to reemphasize, I'm looking for a solution that can be contained within a WAR file, not dependent on Tomcat c
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Add ServerEndpoint to Tomcat instance without annotations
http://aji.la.coocan.jp/_wp/?p=1011
