Linux环境下Tomcat的安全漏洞有哪些

Linux环境下 Tomcat 常见安全漏洞与风险概览

一、近年高危漏洞清单

二、Linux特有的注意点

• CVE-2017-12615/12617 绕过在 Linux 同样有效：当 DefaultServlet 写入被开启时，使用 evil.jsp/ 这类路径规范化绕过可在 Linux 上创建可解析的 JSP 文件，从而获取 RCE。
• CVE-2024-50379 在 macOS 可触发：macOS 默认文件系统大小写不敏感，若同时开启写入与并发 PUT/GET，存在 TOCTOU 竞争导致 .Jsp 被执行的风险；Linux 常见为大小写敏感文件系统，天然降低该风险，但在非标准挂载或特殊文件系统上仍需评估。

三、快速自查要点

• 查看版本：执行 ./bin/version.sh，确认是否在受影响范围（如 9.0.0–9.0.98、10.1.0–10.1.34、11.0.0–11.0.2 对应 CVE-2025-24813）。
• 检查关键配置：
  • conf/web.xml 中 DefaultServlet readonly 是否为 true（默认应为 true，开启写入风险极高）。
  • conf/server.xml 是否存在 AJP Connector 且对外开放（默认端口 8009），如无需 AJP 建议注释或限制访问。
  • 是否启用 CGIServlet（默认关闭），若启用需严格校验 enableCmdLineArguments 与 executable。
  • 是否使用 JMX Remote Lifecycle Listener（JMX 反序列化风险点）。
• 会话与临时文件：确认是否使用基于文件的会话持久化（默认多为内存），以及 $CATALINA_BASE/work 目录的权限与清理策略。

四、加固与修复建议

• 升级版本（优先）：
  • CVE-2025-24813：9.0.99、10.1.35、11.0.3 及以上
  • CVE-2024-50379：9.0.98、10.1.34、11.0.2 及以上
  • CVE-2025-55752：9.0.109、10.1.45、11.0.11 及以上
• 配置加固（立即执行）：
  • 保持 DefaultServlet readonly=true，禁用 HTTP PUT/DELETE 等危险方法（在 web.xml 或反向代理层限制）。
  • 如无明确需求，禁用 AJP 或仅限本地/受信网络访问，并限制 8009 端口访问来源。
  • 禁用或移除 CGIServlet；如必须使用，确保 enableCmdLineArguments=false、executable 为受控解释器且不可为空。
  • 移除或更新存在反序列化风险的依赖（如旧版 commons-collections），减少反序列化利用面。
• 运行与运维：
  • 以低权限系统用户运行 Tomcat，遵循最小权限原则。
  • 清理 webapps 下默认示例与文档（如 docs、examples），减少信息泄露与攻击面。
  • 启用并审计访问日志，监控异常 PUT/JSP 请求与会话文件异常增长。