安全通告
Apache Tomcat 存在信息泄露漏洞預警通告
發(fā)布日期：2024-1-25
?
漏洞描述
2024年1月25日公司監(jiān)測到Apache Tomcat 信息泄露漏洞（CVE-2024-21733）情報。Apache Tomcat 是一個開源 Java Servlet 容器和 Web 服務器，用于運行 Java 應用程序和動態(tài)網頁。Coyote 是 Tomcat 的連接器，處理來自客戶端的請求并將它們傳遞Tomcat 引擎進行處理。攻擊者可以通過構造特定請求，在異常頁面中輸出其他請求的body 數(shù)據,修復版本中通過增加 finally 代碼塊,保證默認會重設緩沖區(qū) position 和 limit 到一致的狀態(tài)，從而造成信息泄露。
漏洞編號
CVE-2024-21733
漏洞危害
攻擊者可以通過構造特定請求，在異常頁面中輸出其他請求的body 數(shù)據,修復版本中通過增加 finally 代碼塊,保證默認會重設緩沖區(qū) position 和 limit 到一致的狀態(tài)，從而造成信息泄露。
漏洞等級
高危
受影響版本
tomcat[9.0.0-M11, 9.0.44)
tomcat[8.5.7, 8.5.64)
org.apache.tomcat:tomcat-coyote[8.5.7, 8.5.64)
org.apache.tomcat:tomcat-coyote[9.0.0-M11, 9.0.44)
org.apache.tomcat.embed:tomcat-embed-core[8.5.7, 8.5.64)
org.apache.tomcat.embed:tomcat-embed-core[9.0.0-M11, 9.0.44)
org.apache.tomcat:tomcat-catalina[8.5.7, 8.5.64)
org.apache.tomcat:tomcat-catalina[9.0.0-M11, 9.0.44)
tomcat9(-∞, 9.0.53-1)
修復方案
更新 Apache Tomcat 至安全版本：
https://tomcat.apache.org/index.html
參考鏈接
https://lists.apache.org/thread/h9bjqdd0odj6lhs2o96qgowcc6hb0cfz
https://github.com/apache/tomcat/commit/86ccc43940861703c2be96a5f35384407522125a