CVE-2017-12615 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Tomcat 7.0.0-7.0.79 存在远程代码执行漏洞。 🔥 **后果**：攻击者上传恶意 JSP 文件并执行，直接 **RCE（远程代码执行）**，服务器沦陷。
Q2根本原因？（CWE/缺陷点）
🛡️ **缺陷点**：**HTTP PUT 方法** 配置不当。 🔍 **原因**：本应禁止上传 JSP，但因 **检查不足**，导致恶意文件可被写入并执行。
Q3影响谁？（版本/组件）
📦 **受影响**：**Apache Tomcat 7.0.0 至 7.0.79**。 ⚠️ **前提**：必须 **启用 HTTP PUT 请求方法**。
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**： 1️⃣ 构造恶意 PUT 请求。 2️⃣ 上传包含任意代码的 **JSP 文件**。 3️⃣ 触发执行，获取 **服务器最高权限**，控制整个系统。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**： ✅ **无需认证**（若 PUT 开启）。 ⚙️ **配置依赖**：需服务器开启 PUT 方法。 💻 **环境限制**：POC 主要针对 **Windows** 环境（基于参考数据）。
Q6有现成Exp吗？（PoC/在野利用）
📦 **现成 Exp**：**有**。 🔗 多个 GitHub 仓库提供 POC（如 `breaktoprotect`, `mefulton` 等）。 🛠️ 提供 Python 脚本或 Java Jar 包，一键利用。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**： 1️⃣ 检查 Tomcat 版本是否在 **7.0.0-7.0.79** 之间。 2️⃣ 确认是否 **启用 HTTP PUT** 方法。 3️⃣ 使用扫描工具检测 PUT 接口是否可写入 JSP。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。 📅 2017-09-19 发布安全公告。 📌 建议升级至 **7.0.80+** 或更高安全版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 🚫 **禁用 HTTP PUT 方法**（在 server.xml 中配置）。 🔒 限制 Web 目录的写入权限。 🛑 仅允许 GET/POST 等必要方法。
Q10急不急？（优先级建议）
⚡ **优先级**：**极高**。 🔥 属于 **RCE 高危漏洞**，利用简单，已有公开 Exp。 🚀 建议 **立即升级** 或 **关闭 PUT 方法**，防止被自动化扫描利用。