CVE-2020-9484 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Apache Tomcat 存在**代码问题漏洞**。 💥 **后果**：攻击者可利用**控制服务器文件内容和名称**的方法，实现**远程代码执行 (RCE)**。 ⚠️ 注意：这是针对 **Session 持久化** 的漏洞，非集群同步漏洞。

🔍 **根本原因**：Tomcat 在处理 **Session 持久化** 时存在缺陷。 📉 **缺陷点**：攻击者通过构造恶意的 **Cookie (JSESSIONID)** 路径，诱导 Tomcat 加载或执行非预期的 Session 文件。 🚫 **CWE**：数据中未提供具体 CWE ID。

📦 **受影响组件**：Apache Tomcat。 📅 **受影响版本**： • **10.0.x**：M1 至 M4 • **9.0.x**：M1 至 9.0.43 之前 • **8.5.x**：8.5.0 至 8.5.63 之前 • **7.0.x**：7.0.0 至 7.0.108 之前

💻 **黑客能力**： • **权限**：获得 **Tomcat 进程权限**。 • **数据**：可执行任意系统命令（如 `touch`, `Calculator` 等）。 • **影响**：完全控制 Web 服务器，可能导致数据泄露或内网渗透。

🔑 **利用门槛**： • **认证**：通常**无需认证**，直接通过 HTTP 请求触发。 • **配置**：依赖 Tomcat 的 **Session 持久化** 功能配置。 • **难度**：中等，需构造特定的 Cookie 值（如 `../../../../../usr/local/tomcat/groovy`）。

🛠️ **现成 Exp**： • **有 PoC**：GitHub 上存在多个利用工具（如 `CVE-2020-9484` 仓库）。 • **利用方式**：通过 `curl` 发送恶意 Cookie 或生成 `.session` 文件。 • **注意**：部分工具用于批量检测（如结合 ceye.io），请仅用于自查。

🔎 **自查方法**： • **特征**：检查 Tomcat 是否开启 **Session 持久化**。 • **扫描**：使用提供的 Exp 脚本或批量检测工具（基于多进程调用 Exp）。 • **验证**：观察 `/tmp` 目录是否生成预期文件（如 `rce` 文件），证明 RCE 成功。

🛡️ **官方修复**： • **状态**：已发布安全公告。 • **建议**：升级至 **9.0.43+**、**8.5.63+** 或 **7.0.108+** 等修复版本。 • **参考**：OpenSUSE、Ubuntu 等厂商已发布安全更新 (USN-4448-1)。

🚧 **临时规避**： • **禁用持久化**：如果不需要，关闭 Tomcat 的 **Session 持久化** 功能。 • **输入过滤**：严格过滤 Cookie 中的路径遍历字符（`../`）。 • **最小权限**：限制 Tomcat 运行用户的文件系统权限。

⚡ **优先级**：🔴 **高**。 • **理由**：RCE 漏洞，无需认证，影响多个旧版本（7.x/8.x/9.x），已有公开 Exp。 • **行动**：立即评估版本，尽快升级或应用缓解措施。