安全通告
Apache Tomcat 拒絕服務(wù)漏洞安全風(fēng)險(xiǎn)通告
發(fā)布日期：2021-10-15
?
漏洞描述
近日，監(jiān)測(cè)到官方發(fā)布了Apache Tomcat拒絕服務(wù)漏洞（CVE-2021-42340），由于歷史bug 63362的修復(fù)，一旦WebSocket連接關(guān)閉，用于收集 HTTP 升級(jí)連接的對(duì)象就不會(huì)針對(duì) WebSocket 的連接釋放，從而引發(fā)了內(nèi)存泄漏，惡意攻擊者可以通過(guò)OutOfMemoryError利用該漏洞觸發(fā)拒絕服務(wù)。
鑒于漏洞危害較大，建議客戶升級(jí)到最新版本。
漏洞編號(hào)
CVE-2021-42340
漏洞危害
一旦WebSocket連接關(guān)閉，用于收集 HTTP 升級(jí)連接的對(duì)象就不會(huì)針對(duì) WebSocket 的連接釋放，從而引發(fā)了內(nèi)存泄漏，惡意攻擊者可以通過(guò)OutOfMemoryError利用該漏洞觸發(fā)拒絕服務(wù)。
漏洞等級(jí)
高危
受影響版本
10.1.0-M1 <= Apache Tomcat 10.1.0-M1 <= 10.1.0-M5
10.0.0-M10 <= Apache Tomcat <= 10.0.11
9.0.40 <= Apache Tomcat <= 9.0.53
8.5.60 <= Apache Tomcat <= 8.5.71
修復(fù)方案
版本升級(jí)：https://tomcat.apache.org/
升級(jí)到 Apache Tomcat 10.1.0-M6 或更高版本
升級(jí)到 Apache Tomcat 10.0.12 或更高版本
升級(jí)到 Apache Tomcat 9.0.54 或更高版本
升級(jí)到 Apache Tomcat 8.5.72 或更高版本
參考鏈接
- https://lists.apache.org/thread.html/r83a35be60f06aca2065f188ee542b9099695d57ced2e70e0885f905c%40%3Cannounce.tomcat.apache.org%3E
- https://bz.apache.org/bugzilla/show_bug.cgi?id=63362