新闻链接：683K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3k6J5k6h3g2T1N6h3k6Q4x3X3g2U0L8$3#2Q4x3V1k6F1k6i4N6K6i4K6u0r3y4o6x3J5x3U0g2Q4x3X3g2Z5N6r3#2D9
新闻时间：2014-09-12
新闻正文：
     开源WEB容器–Apache+Tomcat老版本很容易受到远程代码执行的攻击。Mark Thomas，一位长期致力于Apache+Tomcat的工作者称
“在某种情况下，用户可以上传恶意JSP文件到Tomcat服务器上运行，然后执行命令。JSP的后门可以用来在服务器上任意执行命令。”
Thomas今日发出警告称，Tomcat版本7.0.0和7.3.9在发布补丁之前是脆弱的。利用漏洞（CVE-2014-4444）可执行远程代码执行攻击。上周VMware安全工程部，通信与响应小组（vSECR）的Pierre Ernst挖掘出了这个漏洞。
但官方同时也表示，这个漏洞谈起来容易，但实施攻击有难度。攻击者必须达成的一定条件——其中包括：Oracle Java 1.7.0 update 25，或者Tomcat中的更早的脆弱版本。值得一提的是，该系统的文件路径必须保证可写，而JMX环境的自定义侦听器必须配置且绑定到本地localhost以外的地址。正因为这些限制，Tomcat的安全团队把该漏洞从严重降级为重要，严重程度往往与远程执行漏洞相关。
Apache团队鼓励用户升级到Tomcat7.0.40，或者将他们的Oracle Java升级到1.7.0来减轻危害，要不然就只能等到以后再修补它了。
[参考信息来源threatpost.com，译/FreeBuf实习小编dawner，转载请注明来自FreeBuf.COM]
如文中未特别声明转载请注明出自：FreebuF.COM

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课