Tomcat远程代码执行漏洞(CVE-2017-12615)加固指南_tomcat7.0.81什么时候发布的

1. 漏洞信息

漏洞详细

2017年9月19日，Apache Tomcat官方确认并修复了两个高危漏洞，其中就有Tomcat远程代码执行漏洞，当存在漏洞的Tomcat运行在Windwos主机上，且启用了HTTP PUT请求方法，攻击者就可以通过构造的攻击请求向服务器上传包含任意代码的JSP文件，造成任意代码执行，危害十分严重。

影响版本：

受影响的版本：Tomcat 7.0.0-7.0.81

不受影响的版本：Tomcat 8.x ，Tomcat 9.x

在Tomcat安装目录下的conf文件夹下的配置文件web.xml中的org.apache.catalina.servlets.DefaultServlet方法下如果该方法有如下代码，即表示Tomcat已开启PUT方法，默认情况下HTTP PUT方法是不开启的。

加固方案

a.禁用HTTP PUT方法：

b.升级Tomcat版本到Tomcat8或Tomcat9