Apache Tomcat Session 反序列化代码执行漏洞（CVE-2021-2532）

Apache Tomcat Session 反序列化代码执行漏洞（CVE-2021-2532）

 博主介绍 ‍ 博主介绍：大家好，我是 _PowerShell ，很高兴认识大家~ ✨主攻领域：【渗透领域】【数据通信】
【通讯安全】 【web安全】【面试分析】 点赞➕评论➕收藏 == 养成习惯（一键三连）
欢迎关注一起学习一起讨论⭐️一起进步文末有彩蛋 作者水平有限，欢迎各位大佬指点，相互学习进步！

一、漏洞介绍

Apache Tomcat 是由Apache软件基金会属下Jakarta项目开发的Servlet容器。 Tomcat Session
反序列化代码执行漏洞CVE编号：CVE-2021-25329。
如果使用了Tomcat的session持久化功能，不安全的配置将导致攻击者可以发送恶意请求执行任意代码。

二、成功利用此漏洞需要同时满足以下4个条件：

攻击者能够控制服务器上文件的内容和名称；服务器PersistenceManager配置中使用了FileStore；服务器PersistenceManager配置中设置了sessionAttributevalueClassNameFilter为NULL，或者使用了其他较为宽松的过滤器，允许攻击者提供反序列化数据对象；
攻击者知道使用的FileStore存储位置到可控文件的相对文件路径。

二、影响范围

Apache Tomcat 10.0.0-M1 - 10.0.0
Apache Tomcat 9.0.0.M1 - 9.0.41
Apache Tomcat 8.5.0 - 8.5.61
Apache Tomcat 7.0.0 - 7.0.107

三、修复建议

升级到 Apache Tomcat 10.0.0-M5 及以上版本
升级到 Apache Tomcat 9.0.35 及以上版本 升级到
Apache Tomcat 8.5.55 及以上版本
升级到 Apache Tomcat 7.0.104 及以上版本
临时修补建议：禁止使用Session持久化功能FileStore