前言
近日，由安全社区等情报,安全云发现Tomcat出现两个漏洞分别为"Session持久化漏洞”及“Session同步化漏洞”，利用此漏洞可获取系统权限，属于高危漏洞。
漏洞详情
Apache Tomcat是由Apache软件基金会属下Jakarta项目开发的Servlet容器。攻击者可能可以构造恶意请求，造成反序列化代码执行漏洞。
session持久化漏洞
受该漏洞影响的服务，满足以下三个条件，即可通过上传恶意的类来达到命令执行的目的
1.开启了Tomcat session FileStore持久化。FileStore的持久化配置例: < Store className= "
org.apache.catalina.session.FileStore" directory=”./session" />
2.泄露了session的保存位置
3.配置了
sessionAttributeValueClassNameFilter= "null" (默认条件)session集群同步
session集群同步
满足以下条件，即可通过发送特殊的连接包，从而导致命令执行
1. jdk版本太低，小于8u20或小于7u21
2.在server.xml配置的Cluster.Channel的address可以被访问到
3. tomcat启用了session同步,没有配置EncryptInterceptor
受影响范围
Tomcat版本处于以下范围内将受影响:
<= 10.0.0-M4
<= 9.0.34
<= 8.5.54
<= 7.0.103
整体利用条件较为苛刻，实际危害相对较低，为彻底防止漏洞潜在风险，白帽汇安全研究院仍建议Apache Tomcat用户修复漏洞。
修复建议
1. Tomcat升级至最新版本
2.升级jdk版本不低于8u20 7u21
3.配置session同步集群的访问地址为内网,而非0.0.0.0
漏洞复现结果
目前 Vulfocus 中已经更新了 Tomcat-CVE-2020-9484 的靶场环境，可通过 Dockerhub 拉取镜像，进行漏洞复现测试。