Apache Tomcat是美国阿帕奇（Apache）软件基金会的一款轻量级Web应用服务器。该程序实现了对Servlet和JavaServer Page（JSP）的支持。2020年5月20日，Apache Tomcat官方发布通告，披露了一个通过持久化Session导致的反序列化代码执行漏洞（CVE-2020-9484）。

攻击者可能通过构造恶意请求，造成反序列化代码执行漏洞。

该漏洞利用需要同时满足以下4个条件：

 •攻击者可以控制服务器上的文件名和文件内容；

 •服务器上配置使用了PersistenceManager的FileStore；

 •PersistenceManager配置了sessionAttributeValueClassNameFilter值为“NULL”或者其他宽松的过滤器，使得攻击者可以提供反序列化对象；

 •攻击者知道FileStore使用的存储位置到可控文件的相对路径。

漏洞利用条件较为苛刻，但为杜绝潜在的安全问题，建议Apache Tomcat用户及时升级至不受漏洞影响范围的版本。

漏洞影响范围：

Apache Tomcat 10.x <= 10.0.0-M4

Apache Tomcat 9.x <= 9.0.34

Apache Tomcat 8.x <= 8.5.54

Apache Tomcat 7.x <= 7.0.103

修复建议：

1. 禁止开启Session持久化功能FileStore；

2. 升级Apache Tomcat至不受本次漏洞影响的版本。

参考链接：

https://lists.apache.org/thread.html/r77eae567ed829da9012cadb29af17f2df8fa23bf66faf88229857bb1%40%3Cannounce.tomcat.apache.org%3E