发布日期：2002-09-24
更新日期：2002-09-26

受影响系统：

Apache Software Foundation Tomcat 4.1.10
Apache Software Foundation Tomcat 4.0.4

描述：

---

Apache Tomcat是一款由Apache Foundation维护的免费开放源代码的Java Servlet和JSP服务程序。

Apache Tomcat对用户提交的访问请求处理不正确，远程攻击者可以利用这个漏洞获得JSP脚本文件的源代码信息。

通过使用默认的servlet：org.apache.catalina.servlets.DefaultServlet请求，可导致泄露相关JSP脚本文件的源代码。如一般合法的URL为 http://my.site/login.jsp ，这样类似如下的直接servlet请求：

http://my.site/servlet/org.apache.catalina.servlets.DefaultServlet/login.jsp

可导致login.jsp源代码返回给客户端，造成敏感信息泄露。

<*来源：Rossen Raykov （Rossen.Raykov_at_CognicaseUSA.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=103289907301416&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Rossen Raykov （Rossen.Raykov_at_CognicaseUSA.com）提供了如下测试方法：

http://{server}[:port]/[Context/]org.apache.catalina.servlets.DefaultServlet
/[context_relative_path/]file_name.jsp

如 http://localhost:8080/admin/index.jsp 的URL，可提交如下请求获得源代码：

http://localhost:8080/admin/servlet/org.apache.catalina.servlets.DefaultServ
let/index.jsp

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 如果你采用Tomcat和HTTP服务前后端方式：

  1，如果你使用前端HTTP服务方式，你可以过滤所有包含如下内容的请求：
  
     */servlet/org.apache.catalina.servlets.DefaultServlet*
    
  2，如果使用mod_jk方式连接tomcat到前端服务器，根据JkMount指示映射Tomcat只接收部分URL请求。
  
* 如果使用Standalone方式，在web.xml中增加如下代码进行保护：

<security-constraint>
  <display-name>Default Servlet</display-name>
  <!-- Disable direct alls on the Default Servlet</web-resource-name -->
  <web-resource-collection>
    <web-resource-name>Disallowed Location</web-resource-name>
  
<url-pattern>/servlet/org.apache.catalina.servlets.DefaultServlet/*</url-pat
tern>
    <http-method>DELETE</http-method>
    <http-method>GET</http-method>
    <http-method>POST</http-method>
    <http-method>PUT</http-method>
  </web-resource-collection>
  <auth-constraint>
    <role-name></role-name>
  </auth-constraint>
</security-constraint>

厂商补丁：

Apache Software Foundation
--------------------------
升级到最新的版本releases 4.0.5 and 4.1.12 :

http://jakarta.apache.org/builds/jakarta-tomcat-4.0/release/

浏览次数：4943
严重程度：0（网友投票）