Apache Tapestry 远程执行代码漏洞
- CNNVD编号：未知
- 危害等级： 高危
- CVE编号：CVE-2021-27850
- 漏洞类型： 不需要用户认证
- 威胁类型：远程
- 厂 商：未知
- 漏洞来源：深信服
- 发布时间：2021-05-26
- 更新时间：2021-05-26
漏洞简介
1、组件介绍
Apache Tapestry是美国阿帕奇（Apache）软件基金会的一款使用Java语言编写的Web应用程序框架。
2、漏洞描述
近日，深信服安全团队监测到一则Apache Tapestry组件存在远程代码执行漏洞的信息，漏洞编号：CVE-2021-27850，漏洞威胁等级：高危。
该漏洞是由于Apache Tapestry存在严重的未授权漏洞，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行远程代码，最终获取服务器最高权限。
漏洞公示
如何检测组件系统版本
当前官方已发布受影响版本的对应补丁，建议受影响的用户及时更新官方的安全补丁。链接如下：
https://tapestry.apache.org/download.html
参考网站
暂无
受影响实体
可能受漏洞影响的资产广泛分布于世界各地，国内省份中分布于上海、广东、湖北等省市。
目前受影响的Apache Tapestry版本：
Apache Tapestry 5.4.5
Apache Tapestry 5.5.0
Apache Tapestry 5.6.2
Apache Tapestry 5.7.0
补丁
深信服解决方案
【深信服下一代防火墙】可防御此漏洞， 建议用户将深信服下一代防火墙开启 IPS 防护策略，并更新最新安全防护规则，即可轻松抵御此高危风险。
【深信服安全感知平台】结合云端实时热点高危/紧急漏洞信息，可快速检出业务场景下的该漏洞，并可联动【深信服下一代防火墙等产品】实现对攻击者IP的封堵。
