OpenForum RSS: Уязвимость в устаревших выпусках Apache Tomcat, которая може... https://opennet.me/openforum/vsluhforumID3/98607.html Раскрыта (http://seclists.org/fulldisclosure/2014/Sep/34) информация об опасной уязвимости (CVE-2013-4444) в контейнере для выполнения JSP-страниц и Java-сервлетов Apache Tomcat, позволяющей неаутентифицированнму злоумышленнику организовать удалённое выполнение кода на сервере. При определённом стечении обстоятельств атакующий может загрузить произвольный JSP-код на сервер и инициировать его выполнение. Необходимым условием для проведения атаки является использование в приложении функциональности Servlet 3.0 File Upload, включение JmxRemoteListener, который выключен по умолчанию, и его доступность на внешнем IP. Полноценная эксплуатация возможна вкупе с уязвимостью в классе java.io.File, которая присутствует в Oracle Java 1.7.0 update 25 и более ранних выпусках. <br><br><br><br><br>Проблема проявляется в выпусках Apache Tomcat с 7.0.0 по 7.0.39 и была устранена в Tomcat 7.0.40 без сообщения о наличии уязвимости. В настоящее время на странице (http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.40) со с Уязвимость в устаревших выпусках Apache Tomcat, которая може... (MVK) https://opennet.me/openforum/vsluhforumID3/98607.html#14 Sat, 13 Sep 2014 08:32:09 GMT &gt; Java, энтерпрайз <br><br>"включение JmxRemoteListener, который выключен по умолчанию, и его доступность на внешнем IP"<br><br>- если кто-то использует такие настройки в продкшене, то его просто необходимо поиметь, в образовательных целях. У такого чудика еще и Tomcat под рутом небось запущен.<br><br><br> Уязвимость в устаревших выпусках Apache Tomcat, которая може... (umbr) https://opennet.me/openforum/vsluhforumID3/98607.html#13 Sat, 13 Sep 2014 06:58:27 GMT Очередной анекдот про критическую уязвимость в Томкате :)<br> Уязвимость в устаревших выпусках Apache Tomcat, которая може... (Аноним) https://opennet.me/openforum/vsluhforumID3/98607.html#12 Thu, 11 Sep 2014 17:13:05 GMT &gt; И ведь в дебиане не исправили ещё!..<br>&gt; https://security-tracker.debian.org/tracker/CVE-2013-4444 <br><br>http://zeroturnaround.com/rebellabs/the-great-java-application-server-debate-with-tomcat-jboss-glassfish-jetty-and-liberty-profile/<br> Уязвимость в устаревших выпусках Apache Tomcat, которая може... (Аноним) https://opennet.me/openforum/vsluhforumID3/98607.html#11 Thu, 11 Sep 2014 17:11:07 GMT Jetty?<br> Уязвимость в устаревших выпусках Apache Tomcat, которая може... (Аноним) https://opennet.me/openforum/vsluhforumID3/98607.html#8 Thu, 11 Sep 2014 10:49:25 GMT &gt; мда, сейчас для ботнетов эта уязвимость просто подарок, ибо яву и приложения <br>&gt; мало кто обновляет.<br><br>Так сильно "недефолтная" настройка<br> Уязвимость в устаревших выпусках Apache Tomcat, которая може... (Аноним) https://opennet.me/openforum/vsluhforumID3/98607.html#7 Thu, 11 Sep 2014 10:48:37 GMT Опубликовали бы ещё тех кто поймал её, это надо быть героем что-бы так настроить :)<br> Уязвимость в устаревших выпусках Apache Tomcat, которая може... (MidNighter) https://opennet.me/openforum/vsluhforumID3/98607.html#6 Thu, 11 Sep 2014 10:26:14 GMT ну не всё так страшно как вы пишишите, Tomcat и Java обновятся через штатные обновления реп на Linux системах.<br> Уязвимость в устаревших выпусках Apache Tomcat, которая може... (Аноним) https://opennet.me/openforum/vsluhforumID3/98607.html#5 Thu, 11 Sep 2014 10:14:37 GMT мда, сейчас для ботнетов эта уязвимость просто подарок, ибо яву и приложения мало кто обновляет.<br> Уязвимость в устаревших выпусках Apache Tomcat, которая може... (vitalif) https://opennet.me/openforum/vsluhforumID3/98607.html#4 Thu, 11 Sep 2014 08:43:15 GMT И ведь в дебиане не исправили ещё!..<br><br>https://security-tracker.debian.org/tracker/CVE-2013-4444<br>