在使用 Apache Tomcat 版本 10.0.0-M1 至 10.0.0-M4、 9.0.0.M1 至 9.0.34、 8.5.0 至 8.5.54 以及 7.0.0 至 7.0.103 版本时，如果 a) 攻击者能够服务器上某个文件的内容和名称；b) 此服务器配置为将 PersistenceManager 和 FileStore 一起使用；
c) 为 PersistenceManager 配置了 sessionAttributeValueClassNameFilter='null'（未使用 SecurityManager 时，此为默认值）或者不太严格的过滤器，允许对攻击者提供的对象进行反序列化；d) 攻击者知道从 FileStore 使用的存储位置到他控制的文件的相对文件路径，则在使用特别构建的请求的情况下，该攻击者将能够通过反序列化其控制的文件来触发远程代码执行。请注意，从 a) 到 d) 的所有条件都必须为真，攻击才能成功。(CVE-2020-9484)

检测

Amazon Linux AMI：tomcat8 (ALAS-2020-1390)

high Nessus 插件 ID 138061

版本 1.5