#Apache Tomcat 9

[kennak]

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は9月14日、Apache Tomcat Connectors（mod_jk）における情報漏えいの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。Apache Tomcat Connectors mod_jk Connector 1.2.0から1.2.48※ISAPIリダイレクタは本脆弱性の影響を受けない　Apache Tomcat Connectors（mod_jk）には、設定情報に「JkOptions +ForwardDirectories」が含まれているのに、これがプロキシされるリクエストに対して明示的なマウントがない場合などに、暗黙的なマッピングを使用して、リクエストを最初に定義されたワーカーにマップしてしまうことによる情報漏えいの脆弱性（CVE-2023-41081）が存在し、この暗黙的なマッピングによりステータスワーカーが意図せず公開されたり、httpdで構成されたセキュリティ制約がバイパスされたりする可能性がある。　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。なお、 Apache Tomcat Connector (mod_jk) 1.2.49以降で暗黙的なマッピング機能は削除され、すべてのマッピングは明示的な構成によって行われるように修正されている。

Apache Tomcat Connectors（mod_jk）に情報漏えいの脆弱性 | ScanNetSecurity

[programmerjobs]

プログラマー求人、新着情報(2024-3-9)

求人

4月～ リモート併用 システム調査～「CakePHP」 東京都 https://www.seprogrammerjobs.com/job/show/36523

3月中- ITコンサル-アーキテクト募集 東京都 https://www.seprogrammerjobs.com/job/show/36522

4月- システム保守-追加開発「Python、 Django」 東京都 https://www.seprogrammerjobs.com/job/show/36521

4月- リモート併用 面談1回 インフラ「Apache、 Tomcat」 東京都 https://www.seprogrammerjobs.com/job/show/36520

4月- 基本リモート面談web1回「Perl」webシステム追加開発 東京都 https://www.seprogrammerjobs.com/job/show/36519

証券系システムマイグレーション 東京都 https://www.seprogrammerjobs.com/job/show/36518

UI-UXの定案業務、PJのディレクター業務 東京都 https://www.seprogrammerjobs.com/job/show/36517

電子メーターの開発-建設機械の重機の組み込み案件 東京都 https://www.seprogrammerjobs.com/job/show/36516

販売管理システム保守開発開発オフショア 東京都 https://www.seprogrammerjobs.com/job/show/36515

某量販店向けシステム保守開発 東京都 https://www.seprogrammerjobs.com/job/show/36514

[2thegioisaovn]

Top 5 lỗ hổng thực thi từ xa nguy hiểm nhất đầu năm 2020, có lỗ hổng còn tự động lây nhiễm sang máy tính khác mà người dùng không hề biết

Trong thế giới an ninh mạng, các lỗ hổng thực thi từ xa là loại nguy hiểm nhất khi tin tặc có thể tấn công nạn nhân mà không cần tiếp cận vật lý đến máy tính của người dùng.

Thực thi mã từ xa - Remote Code Execution (viết tắt là RCE) là loại lỗ hổng nguy hiểm nhất, cho phép hacker chiếm quyền điều khiển máy chủ ứng dụng, từ đó có thể lấy các dữ liệu quan trọng của tổ chức hoặc làm bàn đạp để tấn công sâu hơn vào hệ thống doanh nghiệp.

Dưới đây là top 5 lỗ hổng RCE nguy hiểm mới được phát hiện từ đầu năm 2020 do Chuyên gia của công ty cổ phần an ninh mạng Việt Nam VSEC đánh giá dựa trên độ phức tạp, sự phổ biến và quy mô tác động của những lỗ hổng này.

I.  CVE 2019-2725: Lỗ hổng thực thi mã từ xa trên ORACLE WebLogic

Cụ thể, lỗ hổng bảo mật này nằm trong thành phần WLS9-ASYNC trên máy chủ Weblogic của Oracle cho phép kẻ tấn công nhập dữ liệu XML độc hại thông qua đường dẫn được thiết kế đặc biệt mà không cần bất kỳ quyền nào, từ đó có thể xâm nhập và thực thi các mã lệnh tùy ý lên máy chủ Weblogic.

Lỗ hổng này rất dễ bị kẻ tấn công khai thác, vì bất kỳ ai có quyền truy cập HTTP vào máy chủ WebLogic đều có thể thực hiện một cuộc tấn công. Hơn nữa nó còn không cần tương tác từ phía người dùng, như mở tệp đính kèm hay click vào liên kết độc hại, để tải xuống mã độc. Do đó, lỗi này có điểm CVSS là 9,8 /10.

Xem thêm: Dịch vụ quản trị hệ thống HPT

II. CVE 2020-0796: Lỗ hổng thực thi mã từ xa trên giao thức SMB của Windows

CVE 2020-0796 (RCE) là lỗ hổng được đánh giá là nghiêm trọng nhất khi hacker có thể thực thi mã độc từ xa mà không cần xác thực trên Windows 10, không những thế còn có thể tự động lây nhiễm sang máy tính khác.

SMB (Server Message Block) chạy trên cổng 445, là một giao thức mạng hỗ trợ việc chia sẻ file, duyệt mạng, in và giao tiếp qua mạng. Lỗ hổng này còn gọi là SMBGhost, và bắt nguồn từ cách thức SMBv3 xử lý các truy vấn của tính năng nén dữ liệu phần header (compression header), cho phép kẻ tấn công từ xa có thể thực thi mã độc trên máy chủ hoặc máy khách với đặc quyền trên cả Hệ thống.

III.  CVE 2020-1938: Lỗ hổng Ghostcat đọc và chèn tập tin trên Apache Tomcat

CVE-2020-1938, hay còn gọi là Ghostcat, là một lỗ hổng trong giao thức AJP (JavaServer Pages) của Apache Tomcat -  một phần mềm web server mã nguồn mở miễn phí, được sử dụng để chạy các ứng dụng web lập trình bằng ngôn ngữ java. Lỗ hổng này có điểm số 9,8/10, mức gần như cao nhất.

Theo các chuyên gia Công ty cổ phần An ninh mạng VSEC, lỗ hổng Ghostcat hiện đã được phát hiện trên tất cả phiên bản (9.x/8.x/7.x/6.x) của Apache Tomcat phát hành trong suốt 13 năm qua, và điều đặc biệt nghiêm trọng là các mã khai thác đã xuất hiện và được chia sẻ tràn lan trên internet, từ đó các tin tặc có thể tìm kiếm và triển khai các phương thức xâm nhập vào máy chủ web một cách dễ dàng.

IV. CVE-2020-7961 Lỗ hổng chuyển đổi cấu trúc dữ liệu không đáng tin cậy trên Liferay

CVE-2020-7961 là lỗi  chuyển đổi cấu trúc dữ liệu trên nền tảng Liferay - một cổng thông tin mã nguồn mở được sử dụng rộng rãi. Lỗ hổng này cho phép kể tấn công lợi dụng các hàm chuyển đổi cấu trúc dữ liệu mà Liferay sử dụng để chèn mã độc, chiếm quyền điều khiển hoàn toàn ứng dung và thực thi mã lệnh từ xa đến server, thực hiện các hành vi như thay đổi giao diện trang web, đánh cắp dữ liệu,...

Lỗ hồng này tồn tại trên các phiên bản Liferay 7.2.1 CE GA2 trở về trước và hiện tại Liferay đã tung ra các bản vá kịp thời ở các phiên bản Liferay Portal 7.1 GA4, 7.0 GA7 và 6.2 GA6.

V.  CVE-2019-11469: Lỗ hổng SQL Injection trên ứng dụng ManageEngine Application Manager (MEAM)

Lỗ hổng SQL Injection tồn tại ở các ứng dụng quản trị hệ thống doanh nghiệp sử dụng ManageEngine Application Manager phiên bản 14072 trở về trước, cho phép kẻ tấn công có thể nhập dữ liệu vào cơ sở dữ liệu của trang web qua các thông số gửi lên server.

Tin tặc sẽ lợi dụng lỗ hổng này để chiếm quyền điều khiển server bằng cách thêm vào một tài khoản quản trị với quyền cao nhất. Vì ManageEngine yêu cầu quyền đăng nhập đến các máy chủ được giám sát, nên hacker dễ dàng có thể chiếm quyền toàn bộ hạ tầng các máy chủ, từ đó trích xuất dữ liệu quan trọng cũng như cài đặt mã độc lên toàn hệ thống.

Hiện các lỗ hổng trong những phần mềm và nền tảng trên đều đã có bản vá từ nhà phát triển, vì vậy, nếu đang sử dụng chúng, VSEC khuyến cáo các doanh nghiệp nên sớm cập nhật lên phiên bản mới nhất, cũng như vô hiệu hóa các module tính năng gây nên những lỗ hổng trên.

[iamcodegeek]

How To Install Apache Tomcat 9 on Ubuntu 18.04? ☞ http://tech.edupioneer.net/cbbb74696c #Apache #Tomcat #Ubuntu

[iamprogrammerz]

How To Install Apache Tomcat 9 on Ubuntu 18.04? ☞ http://tech.edupioneer.net/cbbb74696c #Apache #Tomcat #Ubuntu

[anuket-jain-blog]

Apache Tomcat is an open-source Java HTTP web server developed by the Apache Foundation. Apache Tomcat 9 is the latest version available for the

[kalilinux4u]

RT @TheHackersNews: 🐱 GhostCat ~ A new high risk 'file read/inclusion' vulnerability (CVE-2020-1938) affects all versions of 'Apache Tomcat' (9.x/8.x/7.x/6.x) released in the past 13 years. Details: https://t.co/GytUFZl4wp You should patch it ASAP, as several PoC exploits have been posted online. https://t.co/aQ297w9wwI (via Twitter http://twitter.com/TheHackersNews/status/1233709459190484992)

[iamaprogrammerz]

How To Install Apache Tomcat 9 on Ubuntu 18.04? ☞ http://tech.edupioneer.net/cbbb74696c #Apache #Tomcat #Ubuntu

[iamacoder]

How To Install Apache Tomcat 9 on Ubuntu 18.04? ☞ http://tech.edupioneer.net/cbbb74696c #Apache #Tomcat #Ubuntu

[thinkcodez]

How To Install Apache Tomcat 9 on Ubuntu 18.04? ☞ http://tech.edupioneer.net/cbbb74696c #Apache #Tomcat #Ubuntu

[2daygeek]

Apache Tomcat 9.0.20 And 8.5.41 is Released, which Fixes many Bugs

Apache Tomcat 9.0.20 And 8.5.41 is Released, which Fixes many Bugs

The Apache Tomcat Project is proudly announced the new release of version 9.0.20 of Apache Tomcat 9 branch and version 8.5.41 of Apache Tomcat 8 branch.

Apache Tomcat 8.5.x replaces 8.0.x and includes new features, which back ported from Tomcat 9.0.x.

The minimum Java version and implemented specification versions remain unchanged.

The notable changes from both the versions are listed…

[javaforyou]

How To Install Apache Tomcat 9 on Ubuntu 18.04? ☞ http://tech.edupioneer.net/cbbb74696c #Apache #Tomcat #Ubuntu

[javayou]

How To Install Apache Tomcat 9 on Ubuntu 18.04? ☞ http://tech.edupioneer.net/cbbb74696c #Apache #Tomcat #Ubuntu

[javatutorial4u]

How To Install Apache Tomcat 9 on Ubuntu 18.04? ☞ http://tech.edupioneer.net/cbbb74696c #Apache #Tomcat #Ubuntu

[springboot4u]

How To Install Apache Tomcat 9 on Ubuntu 18.04? ☞ http://tech.edupioneer.net/cbbb74696c #Apache #Tomcat #Ubuntu

[javageekworld]

How To Install Apache Tomcat 9 on Ubuntu 18.04? ☞ http://tech.edupioneer.net/cbbb74696c #Apache #Tomcat #Ubuntu