Apache Tomcat 集群 RCE 漏洞 (CVE-2026-34486) 分析与利用

漏洞简述

CVE-2026-34486 是 Apache Tomcat Tribes 集群组件中的一个高危漏洞。其核心成因在于 EncryptInterceptor 存在“故障开放”设计缺陷，导致加密功能被绕过。攻击者可在未授权的情况下，通过向集群通信端口（默认为 4000）发送特制的 Java 反序列化 payload，直接实现远程代码执行。

受影响版本：11.0.19+、10.1.53+、9.0.116+
已修复版本：11.0.21、10.1.54、9.0.117
发现与报告：Bartlomiej Dmitruk (striga.ai)

该议题的详细研究可参阅：https://striga.ai/research/tomcat-tribes-unauth-rce

环境要求与复现准备

在开始复现 CVE-2026-34486 之前，请确保本地环境满足以下依赖：

• Docker
• Java 21
• Python 3

漏洞利用与复现步骤

利用过程被高度集成为一键化脚本，极大降低了复现门槛。你可以直接通过以下命令启动环境、生成 payload 并完成攻击测试。

一键执行构建与攻击：

bash run.sh

该脚本会自动执行以下操作：

1. 构建 Docker 镜像，部署一个运行于 Apache Tomcat 11.0.20 且启用了 EncryptInterceptor 的测试实例。
2. 利用工具生成恶意的 CC6 gadget 链 payload。
3. 由于 EncryptInterceptor 的失效，脚本会将该序列化 payload 以明文形式直接发送到容器内 Tribes 在 4000 端口上的接收器。
4. 通过检查容器内部是否成功生成 /tmp/pwned 文件，验证远程代码执行是否达成。

完成测试后，请务必及时清理环境以释放资源：

docker rm -f tomcat-encrypt-poc

项目地址

完整的漏洞利用代码与 Docker 环境已公开至 GitHub，供安全研究及内部团队排查所用：

https://github.com/striga-ai/CVE-2026-34486

对于防护团队而言，若无法立即升级到修复版本，应首要排查网络策略，确保 Tribes 集群通信端口（例如 4000）仅监听于受信的内网地址，避免暴露在不可信网段中。毕竟，此类后端分布式通信接口一旦暴露，无异于将服务器控制权拱手让人。

云栈社区持续追踪前沿安全攻防与架构实战，更多深度技术解读，欢迎深入探讨。