使用 Apache Tomcat 10.0.0-M1 到 10.0.0-M4、9.0.0.M1 到 9.0.34、8.5.0 到 8.5.54 以及 7.0.0 到 7.0.103時， 如果 a) 攻擊者能夠控制伺服器上檔案的內容和名稱；以及 b) 伺服器設定為透過 FileStore 使用 PercontinenceManager；
以及 c) PercontinenceManager 設定為 sessionAttributeValueClassNameFilter ='null' (除非使用 SecurityManager，否則為預設值) 或充分寬鬆的篩選條件，允許攻擊者提供的物件遭到還原序列化；以及 d) 攻擊者從 FileStore 所使用的儲存位置知道攻擊者可控制之檔案的相關檔案路徑；則攻擊者將可使用特製的要求，透過對其控制之下的檔案還原序列化來觸發遠端程式碼執行弱點。請注意，a) 至 d) 的所有條件都必須為 true，攻擊才會成功。(CVE-2020-9484)

偵測

Amazon Linux AMI：tomcat8 (ALAS-2020-1390)

high Nessus Plugin ID 138061

版本 1.4