Исходное сообщение
"Уязвимость в устаревших выпусках Apache Tomcat, которая може..." Отправлено opennews, 11-Сен-14 10:27
Раскрыта (http://seclists.org/fulldisclosure/2014/Sep/34) информация об опасной уязвимости (CVE-2013-4444) в контейнере для выполнения JSP-страниц и Java-сервлетов Apache Tomcat, позволяющей неаутентифицированнму злоумышленнику организовать удалённое выполнение кода на сервере. При определённом стечении обстоятельств атакующий может загрузить произвольный JSP-код на сервер и инициировать его выполнение. Необходимым условием для проведения атаки является использование в приложении функциональности Servlet 3.0 File Upload, включение  JmxRemoteListener, который выключен по умолчанию, и его доступность на внешнем IP. Полноценная эксплуатация возможна вкупе с уязвимостью в  классе java.io.File, которая присутствует в Oracle Java 1.7.0 update 25 и более ранних выпусках. Проблема проявляется в выпусках Apache Tomcat с 7.0.0 по 7.0.39 и была устранена в Tomcat 7.0.40 без сообщения о наличии уязвимости. В настоящее время на странице (http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tom...) со списком исправлений в Tomcat 7.0.40 присутствуют сведения об уязвимости, но судя по копии (https://web.archive.org/web/20140907203441/http://tomcat.apa...) на web.archive.org, сделанной несколько дней назад, данные о проблеме добавлены задним числом. Исправление в 2013 году внесено (http://svn.apache.org/viewvc?view=revision&revision=1470437) под видом чистки неиспользуемого кода. URL: http://seclists.org/fulldisclosure/2014/Sep/34 Новость: http://www.opennet.ru/opennews/art.shtml?num=40563