java.lang.IllegalArgumentException: The AJP Connector is configured with secretRequired="true" but the secret attribute is either null or "".

ubuntu 18.04 .5 升级到 ubuntu 20.04.2 之后，发现 Tomcat 9.0.31 长时间没办法启动，观察日志，发现如下错误信息：

这个是由于在升级系统的时候，选择保留老版本的配置文件，这样就导致，如果 Tomcat 配置了通过 AJP 方式与Apache通信的情况下，会报告上面的错误信息。

新增 secretRequired 的目的是为了解决 AJP  端口暴露在公网的情况下，存在 AJP File Read/Inclusion in Apache Tomcat (CVE-2020-1938) and Undertow (CVE-2020-1745) 漏洞，由于 Tomcat AJP 协议设计上存在缺陷，攻击者通过 Tomcat AJP Connector 可以读取或包含 Tomcat 上所有 webapp 目录下的任意文件，例如可以读取 webapp 配置文件或源代码。此外在目标应用有文件上传功能的情况下，配合文件包含的利用还可以达到远程代码执行的危害。

连接方必须在连接的时候，传入正确的 secretRequired 才能与 Tomcat 通信，相当于通信需要的密码了。

网上很多人都是直接设置

来解决问题的，也就是设置 secretRequired 为空字符，但是这样会导致攻击方不需要传递密码就可以通信了，因此诱发远程攻击漏洞。

正确的做法其实是不允许远程用户直接通过 Tomcat AJP 协议通信，也就是在设置绑定的 IP 地址为本地地址 127.0.0.1。如下：

参考链接

---

• spring boot - Springboot-AJP连接器配置了secretRequired =“ true”，但是secret属性是e
• Ghostcat 是存在于 Tomcat 中的高危文件读取/包含漏洞
• AJP File Read/Inclusion in Apache Tomcat (CVE-2020-1938) and Undertow (CVE-2020-1745)