CVE-2020-13953 | Apache Tapestry WEB-INF文件下载缝隙公告

颁布功夫 2020-09-27

0x00 缝隙概述

CVE  ID

CVE-2020-13953

时   间

2020-09-27

类   型


等   级

中危

远程利用

是

影响领域

Tapestry 5.4.0-5.5.0


Apache Tapestry是一个使用Java说话编写的开源框架，用于创建动态的、壮实的、高矫捷性的web利用法式 。Tapestry框架构筑在尺度的Java Servlet API之上，因而它可能很好地兼容任何servlet容器或者利用服务 。Tapestry拥有很多安全职能，旨在加强利用法式免受不用要的入侵和回绝服务的侵害 。

0x01 缝隙详情

图片.png

 

2020年09月26日，Apache Tapestry中被露出出存在一个文件下载缝隙 。缝隙追踪为CVE-2020-13953，其缝隙等级为中危 。攻击者可通过恶意的URL下载WEB-INF中的文件 。


0x02 措置建议

将Apache Tapestry升级到 5.6.0或更高版本 。

下载链接：

https://tapestry.apache.org/download.html

0x03 参考链接

https://www.mail-archive.com/users@tapestry.apache.org/msg77276.html

https://seclists.org/oss-sec/2020/q3/197

https://tapestry.apache.org/security.html

0x04 功夫线

2020-09-26  Apache颁布安全布告

2020-09-27  VSRC颁布安全公告

0x05 附录

CVSS评分尺度官网：http://www.first.org/cvss/



图片.png