锐捷网络云桌面产品服务器关于“幽灵猫”漏洞的通告

一、风险概述

1、Tomcat服务器是一个免费的开放源代码的Web 应用服务器，属于轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP程序的首选。

2、2020年2月20日，国家信息安全漏洞共享平台(CNVD) 公布CNVD-2020-10487 Apache Tomcat文件包含漏洞，由于Tomcat默认开启的AJP服务（8009端口）存在一处文件包含缺陷，攻击者可构造恶意的请求包进行文件包含操作，进而读取受影响Tomcat服务器上的Web目录下的任意文件，比如读取webapp配置文件或源代码，此外如果目标应用有文件上传功能的情况下，配合文件包含的利用还可以达到远程代码执行的危害。

3、漏洞CVE编号：CVE-2020-1938。

二、影响范围

锐捷云桌面所有运行以下云桌面系统版本的服务器，均存在该漏洞：

● 云办公除V4.1_R1T1外所有版本（发布时间2019年11月15日）；

● 云课堂标准版V3.8以前发布的所有版本（不含V3.8，该版本发布时间为2019年6月30日）。

● 云课堂增强版所有已发布的版本。

三、解决方案

针对此漏洞风险，云桌面事业部已发布可修复该漏洞的Halo工具，版本号为V2.1.34（发布时间为2020年2月28日）。用户可自行到云桌面工具平台网站上（http://csc.ruijie.com.cn/rcc/page/main.html?url=home.html）获取Halo工具进行修复。

具体操作步骤参考附件：《使用Halo工具的修复apache漏洞过程及操作步骤V1.1.docx》。

点击查看：https://pan.ruijie.com.cn/share/f7be9b36f3df825f336c610ef6

四、技术支撑联系方式

在执行相关操作过程中，如有遇到问题，请联系4008111000技术支持热线寻求支持。

点击查看：使用Halo工具的修复apache漏洞过程及操作步骤。