Apache Tomcat远程代码执行误差清静通告
宣布时间 2019-04-12误差编号和级别
CVE编号：CVE-2019-0232 ，危险级别：高危 ，CVSS分值：官方未评定
影响版本
Apache Tomcat 8.5.0 to 8.5.39
Apache Tomcat 7.0.0 to 7.0.93
误差概述
Apache Tomcat是美国阿帕奇（Apache）软件基金会的一款轻量级Web应用服务器 。该程序实现了对Servlet和JavaServer Page（JSP）的支持 。
4月11日 ，Apache官方宣布清静通告 ，由于JRE将下令行参数转达给Windows的方法保存过失 ，会导致CGI Servlet受到远程执行代码的攻击 。
1. 系统为Windows
2. 启用了CGI Servlet（默以为关闭）
3. 启用了enableCmdLineArguments（Tomcat 9.0.*版本及官方未来宣布版本默以为关闭）
通常在Apache Tomcat官网下载的装置包名称中会包括有目今Tomcat的版本号 ，用户可通过审查解压后的文件夹名称来确定目今的版本 。
若是目今版本在影响规模内 ，且知足误差触发的3个条件 ，则目今系统可能保存危害 ，请相关用户实时更新 。
误差验证
暂无POC/EXP 。
修复建议
Apache官方还未正式宣布最新修复版本 ，请受影响的用户坚持关注 ，官方更新后尽快升级举行防护 。在官方宣布新版本之前 ，用户可以将CGI Servlet初始化参数enableCmdLineArguments设置为false来举行暂时防护 。
详细操作办法如下：
1、在Tomcat装置路径的conf文件夹下 ，使用编辑器翻开web.xml 。
2、找到enableCmdLineArguments参数部分 ，添加如下设置：
3、重启Tomcat服务 ，以确保设置生效 。
参考链接
http://tomcat.apache.org/security-8.html
http://tomcat.apache.org/security-9.html
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201904-525
京公网安备11010802024551号