漏洞描述
近日，Apache发布安全公告称Apache Tomcat 7、8、9多个版本存在安全绕过漏洞。攻击者可以利用这个问题，绕过某些安全限制来执行未经授权的操作，这可能有助于进一步攻击。
Apache Tomcat servlet 注释定义的安全约束，只在servlet加载后才应用一次。由于以这种方式定义的安全约束，应用于URL模式及该点下任何URL，很可能取决于servlet加载的次序，这可能会将资源暴露给未经授权访问它们的用户。
漏洞编号
CVE-2018-1305
影响版本
Apache Tomcat < 9.0.5
Apache Tomcat < 8.5.28
Apache Tomcat < 8.0.50
Apache Tomcat < 7.0.85
威胁等级
中危
漏洞排查
根据官方描述，此漏洞触发的前提有：
1. 业务系统部署在低版本的Tomcat中。
2. 业务系统通过注解的方式定义安全约束。
因此，可通过Tomcat版本或者业务系统安全约束定义排查的方式来判断自身业务系统是否会受影响，详情如下所述。
Tomcat版本判断
进入tomcat安装目录的bin目录，输入命令version.bat（Linux系统下输入version.sh）后，可查看当前的软件版本号。
业务系统判断
当使用的Tomcat版本在受影响的范围内，业务系统同时还要满足定义ServletSecurity注解进行ACL保护控制，相关企业可直接咨询开发人员当前应用系统是否应用了注解有ServletSecurity的ACL访问控制。
若运行的业务系统无相关源代码，且无对应的开发人员可咨询，可通过如下代码检查的方式进行判断。
将Tomcat中部署的应用系统（应用部署目录为{Tomcat Home}/webapps/）拷贝出来，使用jd-gui反编译工具反编译应用系统class文件（位于/WEB-INF/目录中），并通过关键字搜索的方式判断是否应用了@ServletSecurity。
如上图所示，若此系统运行于低版本的Tomcat中，可能会受到漏洞的影响。
使用Poc自查
部署CVE-2018-1305.war在业务系统的Tomcat下进行检测。
访问http://localhost:8080/CVE-2018-1305/index.jsp
点击servlet1/servlet2/如果看到图下，说明漏洞存在。
如果看到下图说明漏洞不存在。
Poc下载
https://github.com/iBearcat/CVE-2018-1305
漏洞复现
Java EE 提供了类似 ACL 权限检查的ServletSecurity注解，可以用于修饰Servlet对其进行保护，如果有两个servlet，Servlet1，访问路径为“/servlet1/*”并且添加了ServletSecurity注解，Servlet2，访问路径为“/servlet1/servlet2/*”但没有ServletSecurity注解，首次访问servlet1/servlet2，servlet1的ServletSecurity注解并不会生效，无法保护“/servlet1/servlet2”路径，因此可能会导致未授权访问。
如果在访问“/servlet1/servlet2”之前先访问过“/servlet1”，Tomcat会加载ACL并启动对“/servlet1/servlet2”的保护，则漏洞不会触发。
在Servlet1前加上ServletSecurity注解，Servlet2无此注解。
将web.xml文件中servlet相对应的url-pattern修改为如下图所示后。
运行该项目。首次访问servlet2的URL，发现可以未授权访问，针对servlet1的ACL并未生效。
第二次访问servlet1的URL，访问被禁止，此时ACL生效。
再次访问servlet2的URL，发现访问被禁止，如果ACL对servlet2生效，必须建立在servlet1被访问过的前提下。
因此漏洞的复现仅限于tomcat启动后，在访问“/servlet1/*”之前先访问了“/servlet1/servlet2/*”页面，若之前存在任何人访问“/servlet1/*”页面，则漏洞不会触发。漏洞危害较高，但是利用条件困难，因此影响范围并不大。
