漏洞关键信息 基本信息 CVE 标识: CVE-2015-5345 CVSS 分数: 5.1 (中等) CVSS 矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:H/RL:O/RC:C 影响的系统 Apache Tomcat 9.0.0.M1 Apache Tomcat 8.0.0 到 8.0.29 Apache Tomcat 7.0.0 到 7.0.67 Apache Tomcat 6.0.0 到 6.0.44 老旧的（不受支持）的 Apache Tomcat 版本的状态未知 概述 Apache Tomcat 应用服务器在应用的 .war 文件中存在目录时，会响应 HTTP 请求并进行重定向（添加尾斜杠）。这使得远程未授权用户可以检测到应用的存在，并通过字典攻击映射出应用的内部结构。 影响 此问题的影响有限。Web 应用的存在可以被检测到，即使禁用了识别标头也可以检测到 Java 的使用（通过尝试请求 WEB-INF 目录）。攻击者还可以确定应用的 .war 文件中的某个字符串是否是有效的目录名。 解决方案 将 Apache Tomcat 升级到至少以下版本：9.0.0.M3、8.0.30、7.0.68 或 6.0.45。 技术细节 当请求一个不存在的资源时，Tomcat 响应 404 错误。但如果应用的 .war 文件中存在与请求名称对应的目录，Tomcat 响应 302 重定向，在请求中添加尾斜杠（这只会返回 404）。 - - - -