Tomcat高危安全限制绕过漏洞

　　Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。由于有了Sun 的参与和支持，最新的Servlet 和JSP 规范总是能在Tomcat 中得到体现，Tomcat 5支持最新的Servlet 2.4 和JSP 2.0 规范。因为Tomcat 技术先进、性能稳定，而且免费，因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可，成为目前比较流行的Web 应用服务器。（百度百科）

　　Tomcat 服务器是一个免费的开放源代码的Web 应用服务器，属于轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。对于一个初学者来说，可以这样认为，当在一台机器上配置好Apache 服务器，可利用它响应HTML（标准通用标记语言下的一个应用）页面的访问请求。实际上Tomcat 部分是Apache 服务器的扩展，但它是独立运行的，所以当你运行tomcat 时，它实际上作为一个与Apache 独立的进程单独运行的。（百度百科）

　　漏洞描述

　　Apache Tomcat是一个流行的开源JSP应用服务器程序，Apache Tomcat 9.0.0.M1-9.0.0.M20, 8.5.0-8.5.14, 8.0.0.RC1-8.0.43, 7.0.0-7.0.77版本，在错误页面的实现机制中存在安全漏洞（CVE-2017-5664 ），根据源请求会导致意外结果，比如若DefaultServlet配置为允许写，对于静态错误页面，可能会替换或删除自定义错误页面等。

　　影响版本

　　Apache Group Tomcat 9.0.0.M1-9.0.0.M20

　　Apache Group Tomcat 8.5.0-8.5.14

　　Apache Group Tomcat 8.0.0.RC1-8.0.43

　　Apache Group Tomcat 7.0.0-7.0.77

　　漏洞等级：高危

　　修复建议

　　1、升级到最新版本；

　　2、使用百度云加速WAF防火墙进行防御；

　　3、添加网站至安全指数，及时了解网站组件突发/0day漏洞。

　　了解更多

　　http://tomcat.apache.org/security-9.html

　　http://tomcat.apache.org/security-8.html

　　http://tomcat.apache.org/security-7.html