漏洞描述
漏洞編號：CVE-2018-1305、CVE-2018-1304
ApacheTomcat是美國阿帕奇（Apache）軟件基金會下屬的Jakarta項目的一款輕量級Web應(yīng)用服務(wù)器，它主要用于開發(fā)和調(diào)試JSP程序，適用于中小型系統(tǒng)。Default Servlet是其中的一個對靜態(tài)資源進行處理的類。
Apache Tomcat servlet 注釋定義的安全約束，只在servlet加載后才應(yīng)用一次。該漏洞是由于由于以這種方式定義的安全約束，應(yīng)用于URL模式及該點下任何URL，很可能取決于servlet加載的次序，對于某些不應(yīng)用的安全約束，惡意攻擊者利用該漏洞可能會將資源暴露給未經(jīng)授權(quán)訪問用戶，導(dǎo)致敏感信息泄露。
漏洞影響范圍
以下版本受到影響：
? 9版本（9.0.0.M1到9.0.4）
? 8版本（8.5.0到8.5.27，8.0.0.RC1到8.0.49）
? 7版本（7.0.0到7.0.84）
安全版本:
? 大于或等于Apache Tomcat 9.0.5版本
? 大于或等于Apache Tomcat 8.5.28版本
? 大于或等于Apache Tomcat 8.0.50版本
? 大于或等于Apache Tomcat 7.0.85版本
漏洞修復(fù)建議
目前官方已提供安全更新版本下載：
? 9版本（9.0.5以后版本）：https://tomcat.apache.org/download-70.cgi
? 8版本（8.5.28以后版本）:https://tomcat.apache.org/download-80.cgi
? 7版本（7.0.85以后版本）:https://tomcat.apache.org/download-90.cgi