Apache Tomcat RCE if readonly set to false (CVE-2017-12617)

ทีม Tomcat Apache ได้แจ้งเตือนช่องโหว่ Remote Code Execution (RCE) รหัส CVE-2017-12617 ซึ่งถูกจัดอันดับความรุนแรงเป็น Important ทำให้แฮกเกอร์สามารถสั่งรันโค้ดจากระยะไกลได้
ช่องโหว่นี้จะมีผลกระทบกับเวอร์ชันก่อน 9.0.1 (Beta), 8.5.23, 8.0.47 และ 7.0.82 ที่มีการตั้งค่าตัวแปร(Parameter) ของ readonly บน Default Servlet หรือ WebDAV Servlet เป็น False และได้เปิดให้มีการใช้งาน HTTP PUT เอาไว้ ส่งผลให้สามารถทำการอัพโหลดไฟล์ JSP ไปยัง Apache Tomcat Server และสั่งให้ทำงานได้ จากรายงานยังได้ระบุว่า ช่องโหว่นี้ถูกค้นพบหลังจากที่มีการแก้ไขช่องโหวที่คล้ายคลึงกันใน Apache Tomcat 7 สำหรับ Windows เมื่อวันที่ 20 กันยายนที่ผ่านมา

จึงแนะนำให้ผู้ดูแลระบบ Apache ควรรีบอัพเดทแพทช์ให้เป็นเวอร์ชั่นล่าสุดโดยเร็ว ตามรายละเอียดด้านล่าง
อัปเกรดเป็น Apache Tomcat 9.0.1 หรือใหม่กว่า
อัปเกรดเป็น Apache Tomcat 8.5.23 หรือใหม่กว่า
อัปเกรดเป็น Apache Tomcat 8.0.47 หรือใหม่กว่า
อัปเกรดเป็น Apache Tomcat 7.0.82 หรือใหม่กว่า

ที่มา: alphabot