apache Tomcat7.0.0-7.0.81(默认配置),如果配置了默认servlet,则在9.0.1(Beta),8.5.23,8.0.47和7.0.82之前的所有Tomcat版本都包含所有操作系统上的潜在危险的远程执行代码(RCE)漏洞。
readonly设置为false,同时开启了PUT请求的支持。
漏洞复现- 拉取环境
- 抓包,修改请求方式为PUT方式,并且内容写成是jsp木马
- 根据jsp的木马内容,进行访问,发现写入和执行成功

apache Tomcat7.0.0-7.0.81(默认配置),如果配置了默认servlet,则在9.0.1(Beta),8.5.23,8.0.47和7.0.82之前的所有Tomcat版本都包含所有操作系统上的潜在危险的远程执行代码(RCE)漏洞。
readonly设置为false,同时开启了PUT请求的支持。
漏洞复现