Apache Tomcat目录主机Appbase绕过认证漏洞

<a href="https://www.securityfocus.com/bid/37942" target="_blank">https://www.securityfocus.com/bid/37942</a><br/> <a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201001-274" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201001-274</a><br/>

Apache Tomcat是一个流行的开放源码的JSP应用服务器程序。 默认下Tomcat会自动部署主机appBase中的任何目录，这种行为是受主机的autoDeploy属性(默认为true)控制的。如果卸载部署失败，自动部署过程仍会部署剩余的文件，导致正常情况下受一个或多个安全限制保护的文件也被继续部署，这样用户就可无需认证便访问这些文件。

来源:VUPEN
名称:ADV-2010-0213
链接:http://www.vupen.com/english/advisories/2010/0213
来源:tomcat.apache.org
链接:http://tomcat.apache.org/security-6.html
来源:tomcat.apache.org
链接:http://tomcat.apache.org/security-5.html
来源:svn.apache.org
链接:http://svn.apache.org/viewvc?rev=902650&view=rev
来源:svn.apache.org
链接:http://svn.apache.org/viewvc?rev=892815&view=rev
来源:XF
名称:tomcat-autodeploy-security-bypass(55856)
链接:http://xforce.iss.net/xforce/xfdb/55856
来源:BID
名称:37942
链接:http://www.securityfocus.com/bid/37942
来源:BUGTRAQ
名称:20100124[SECURITY]CVE-2009-2901ApacheTomcatinsecurepartialdeployafterfailedundeploy
链接:http://www.securityfocus.com/archive/1/archive/1/509151/100/0/threaded
来源:SECTRACK
名称:1023503
链接:http://securitytracker.com/id?1023503
来源:SECUNIA
名称:38346
链接:http://secunia.com/advisories/38346
来源:SECUNIA
名称:38316
链接:http://secunia.com/advisories/38316
来源：NSFOCUS
名称：14403
链接：http://www.nsfocus.net/vulndb/14403