拉丁解牛技术专栏

它实现了Java Servlet和JavaServer Pages (JSP) 技术，提供了一个运行环境来处理HTTP请求、生成动态网页，并支持WebSocket通信。，当应用程序启用servlet写入功能（默认情况下禁用）、使用 Tomcat默认会话持久机制和存储位置、依赖库存在反序列化利用链时，未授权攻击者能够执行恶意代码获取服务器权限。近日，2025年3月11日，奇安信 CERT发布安全风险通告，奇安信CERT监测到官方修复。

Zabbix zbx_auditlog_global_script SQL注入漏洞(CVE-2024-22120)已经在互联网上公开。在Zabbix系统中，具有Detect operating system 权限的用户可以通过时间注入获取管理员凭证，进一步利用可以结合后台功能执行代码。

Apache Tomcat版本 9.0.0-M11 - 9.0.43、8.5.7 - 8.5.63中存在 一个信息泄露漏洞（CVE-2024-21733），由于coyote/http11/Http11InputBuffer.java中在抛出CloseNowException异常后没有重置缓冲区位置和限制，威胁者可发送不完整的POST请求触发错误响应，从而可能导致获取其他用户先前请求的数据。3、加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

由于Nacos <= 2.4.0 BETA 存在 Derby 远程命令执行漏洞，恶意攻击者利用此漏洞可以未授权执行SQL语句，最终导致任意代码执行。目前该漏洞PoC和技术细节已在互联网上公开。

近日，Rsync修复了堆缓冲区溢出漏洞(CVE-2024-12084)，该漏洞存在于Rsync的守护进程中，由于对用户控制的校验和长度(s2length)处理不当，当Rsyncd配置为允许匿名访问时，攻击者可以构造恶意的校验和长度，从而将恶意代码写入内存并执行。Rsync是一款高效、灵活的文件同步工具，广泛用于远程和本地数据备份、镜像同步，通过增量备份技术实现快速、低带宽占用的数据传输。尽量使用安全的远程 Shell (如 SSH) 来传输数据，以避免直接暴露 Rsyncd 服务端口到公网。

Zabbix官方修复了Zabbix SQL注入漏洞(CVE-2024-42327)。利用该漏洞，具有API访问权限的用户可越权访问高权限用户敏感信息以及执行恶意SQL语句。

近期，Apache官方修复了Apache Tomcat 远程代码执行漏洞(CVE-2024-50379)， 该漏洞是由于Tomcat在验证文件路径时存在缺陷，如果readonly参数被设置为false（这是一个非标准配置），并且服务器允许通过PUT方法上传文件，那么攻击者就可以上传含有恶意JSP代码的文件。通过不断地发送请求，攻击者可以利用条件竞争，使得Tomcat解析并执行这些恶意文件，从而实现远程代码执行。Tomcat 是一个开源的、轻量级的 Web 应用服务器 和 Servlet 容器。

修改Springboot Tomcat内置版本，修复Tomcat 漏洞，网络安全问题