linux上tomcat有安全漏洞,怎么修复_tomcat常见漏洞

1

CVE-2014-0095：DoS（拒绝服务）漏洞如果AJP请求中设置了一个长度为0的内容，会导致AJP请求挂起，这会消耗一个请求处理线程，可能导致拒绝服务攻击

受影响版本：

0

0-RC2~8

0

32

CVE-2014-0075：DoS（拒绝服务）漏洞攻击者可以制作一个特殊大小的chunked请求，允许大量数据流传输到服务器，并可以绕过各种大小验证，从而导致DoS攻击

受影响版本：

0

0-RC1~8

0

0

0~7

0

0

0~6

0

393

CVE-2014-0096：信息泄露漏洞默认的servlet可以让Web应用程序定义一个XSLT，用于格式化目录列表

当在一个安全管理机制下运行时，这些进程没有受到和Web应用程序一样的约束条件，使得恶意Web应用通过使用外部XML来绕过安全限制

受影响版本：

0

0-RC1~8

0

0

0~7

0

0

0~6

0

394

CVE-2014-0097：信息泄露漏洞用于解析请求内容长度头的代码没有检查溢出，这将导致请求泄露

受影响版本：

0

0-RC1~8

0

0

0~7

0

0

0~6

0

395

CVE-2014-0119：信息泄露漏洞在特定情况下，恶意Web应用可能取代Tomcat中的XML解析器来处理默认servlet的XSLT、JSP文档、TLD（标签库描述符）和标签插件配置文件，注入的XML解析器可能会绕过针对XML外部实体的限制

受影响版本：

0

0-RC1~8

0

0

0~7

0

0

0~6

0

39解决方法：各分支产品升级至最新的版本

Tomcat8

x分支升级至Tomcat8

0

8或更新版本Tomcat7

x分支升级至Tomcat7

0

54或更新版本Tomcat6

x分支升级至Tomcat6

0

41或更新版本

一、SSH

SSH的配置文件中加密算法没有指定，默认支持所有加密算法，包括arcfour,arcfour128,arcfour256等弱加密算法。

修改SSH配置文件，添加加密算法：

vi /etc/ssh/sshd_config

Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc

最后面添加以下内容（去掉arcfour,arcfour128,arcfour256等弱加密算法）：

ssh_config和sshd_config都是ssh服务器的配置文件，二者区别在于，前者是针对客户端的配置文件，后者则是针对服务端的配置文件。

保存文件后重启SSH服务：

service sshd restart or  service ssh restart

验证

ssh -vv -oCiphers=aes128-cbc,3des-cbc,blowfish-cbc <server>

ssh -vv -oMACs=hmac-md5 <server>

二、SSL

修改SSL配置文件中的的SSL Cipher参数

1、禁止apache服务器使用RC4加密算法

vi /etc/>0前言
公司采用三方漏洞扫描时发现大量openssh漏洞，最终修复漏洞方案为将openssh升级到官方最新版本。

*** 作系统： Centos72
网络状况： 可以访问外网
Openssh版本： OpenSSH_661p1, OpenSSL 101e-fips 11 Feb 2013

修改配置文件/etc/xinetdd/telnet 将里面的”disable= yes”改成” disable=no” ，修改后结果

在/etc/securetty文件末尾增加一些pts终端,直接加在末尾就可以了

防火墙开启23号端口，当然也可以直接关闭防火墙 ,这里选择关闭防火墙

或修改配置文件，永久生效。

（4）安装依赖包

42 换成telnet登录服务器
其换成telnet登录服务器，更新过程ssh连接会断，导致无法连接

43 安装Openssl步骤
（1）替换会被备份的文件

（2）解压软件包并且进入目录进行编译

（3）创建软连接

（4）验证文件

（5）修改配置文件

52 安装步骤
（1）解压压缩包

（2）修改目录权限

（3）备份会替换的文件

（4）执行编译安装

（5）修改配置文件

（6）文件替换

（7）添加开机自启动

（8）重启ssh

注意：在运行这个脚本的时候备份文件必须要是/back_up/backuptgz,如果备份的时候叫其他名称，请自行修改脚本。还有脚本不能运行为前台且跟终端相关进程，因为经测试发现在还原的时候ip会被冲掉。所以远程连接会断掉

最后需要注意的是执行脚本会重启机器

日前Linux官方内置Bash中新发现一个非常严重安全漏洞，黑客可以利用该Bash漏洞完全控制目标系统并发起攻击，为了避免您Linux服务器受影响，建议您尽快完成漏洞修补。 今天Linux官方已经给出了Bash漏洞最新解决方案，还没有修复Bash漏洞的朋友，请尽快修复。以下是小编为大家附上最常用的Linux内核之centos和ubuntu服务器修复Bash漏洞终极修复方法。

Centos和Ubuntu修复Linux Bash漏洞终极方法

目前已确认被成功利用的软件及系统：所有安装GNU bash 版本小于或者等于43的Linux *** 作系统。

Bash漏洞描述该漏洞源于你调用的bash shell之前创建的特殊的环境变量，这些变量可以包含代码，同时会被bash执行。

漏洞检测方法

在服务器命令中使用漏洞检测命令：env -i X='() { (a)=>' bash -c 'echo date'; cat echo

修复前，会显示当前系统时间，说明服务器此漏洞还未修复，请及时修复，以下附上Linux系统修复方案，主要包括： centos和ubuntu系统最终修复方案。

一、centos最终修复Bash漏洞方案

在服务器命令框中，键入如下命令升级，修复漏洞：

yum clean all

yum makecache

yum -y update bash

二、ubuntu最终修复Bash漏洞方案，请运行如下命令

apt-cache gencaches

apt-get -y install --only-upgrade bash

进行以上方法修复后，我们再次运行检测命令：env -i X='() { (a)=>' bash -c 'echo date'; cat echo

如果使用修补方案修复后输出： date，也就是输出结果中包含date字符串就表示漏洞修复成功了。

其他Linux服务器Bash漏洞终极修复方法

特别提示 ：该修复不会有任何影响，如果您的脚本使用以上方式定义环境变量，修复后您的脚本执行会报错， 为了防止意外情况发生，建议您执行命令前先对Linux服务器系统盘进行备份。

注 ：更多精彩教程请关注电脑教程栏目，电脑办公群:189034526欢迎你的加入

1切断网络
所有的攻击都来自于网络，因此，在得知系统正遭受黑客的攻击后，首先要做的就是断开服务器的网络连接，这样除了能切断攻击源之外，也能保护服务器所在网络的其他主机。
2查找攻击源
可以通过分析系统日志或登录日志文件，查看可疑信息，同时也要查看系统都打开了哪些端口，运行哪些进程，并通过这些进程分析哪些是可疑的程序。这个过程要根据经验和综合判断能力进行追查和分析。下面的章节会详细介绍这个过程的处理思路。
3分析入侵原因和途径
既然系统遭到入侵，那么原因是多方面的，可能是系统漏洞，也可能是程序漏洞，一定要查清楚是哪个原因导致的，并且还要查清楚遭到攻击的途径，找到攻击源，因为只有知道了遭受攻击的原因和途径，才能删除攻击源同时进行漏洞的修复。
4备份用户数据
在服务器遭受攻击后，需要立刻备份服务器上的用户数据，同时也要查看这些数据中是否隐藏着攻击源。如果攻击源在用户数据中，一定要彻底删除，然后将用户数据备份到一个安全的地方。
5重新安装系统
永远不要认为自己能彻底清除攻击源，因为没有人能比黑客更了解攻击程序，在服务器遭到攻击后，最安全也最简单的方法就是重新安装系统，因为大部分攻击程序都会依附在系统文件或者内核中，所以重新安装系统才能彻底清除攻击源。
6修复程序或系统漏洞
在发现系统漏洞或者应用程序漏洞后，首先要做的就是修复系统漏洞或者更改程序bug，因为只有将程序的漏洞修复完毕才能正式在服务器上运行。

---