Apache Tomcat HTTP/2請求標(biāo)頭混淆安全風(fēng)險通告
發(fā)布日期：2020-12-8
?
漏洞描述
Tomcat官方發(fā)布安全公告，Apache Tomcat 10.0.0-M1～10.0.0-M9、9.0.0-M1～9.0.39和8.5.0～8.5.59這些版本存在漏洞。該漏洞會導(dǎo)致在一個HTTP/2的連接過程中，相連的后續(xù)請求中，可重新使用來自上一個HTTP請求頭中的值。這可能會導(dǎo)致錯誤并關(guān)閉HTTP/2連接，會在請求之間造成信息泄漏。
漏洞編號
CVE-2020-17527
漏洞危害
該漏洞會導(dǎo)致在一個HTTP/2的連接過程中，相連的后續(xù)請求中，可重新使用來自上一個HTTP請求頭中的值。這可能會導(dǎo)致錯誤并關(guān)閉HTTP/2連接，會在請求之間造成信息泄漏。如果當(dāng)前版本在受影響范圍內(nèi)，則存在安全風(fēng)險。
漏洞等級
中危
受影響版本
Apache Tomcat 10.0.0-M1～10.0.0-M9、9.0.0-M1～9.0.39和8.5.0～8.5.59
修復(fù)方案
目前官方已發(fā)布新版本修復(fù)了此漏洞，請受影響的用戶盡快升級至對應(yīng)的新版本進(jìn)行防護(hù)：
- 升級到Apache Tomcat 10.0.0-M10或更高版本
- 升級到Apache Tomcat 9.0.40或更高版本
- 升級到Apache Tomcat 8.5.60或更高版本
參考鏈接
- http://tomcat.apache.org/security-10.html
- http://tomcat.apache.org/security-9.html
- http://tomcat.apache.org/security-8.html