Apache Tomcat信息泄露高危漏洞预警

Java工具 潘老师 1年前 (2023-03-24) 559 ℃ (0) 扫码查看

Apache Tomcat最近被爆存在信息泄露高危漏洞预警,Java开发的小伙伴们注意下!

1. 通告信息

近日,安识科技A-Team团队监测到Apache官方发布安全公告,修复了Apache Tomcat中的一个信息泄露漏洞,漏洞编号:CVE-2023-28708,漏洞等级:高危。
对此,安识科技建议广大用户及时升级到安全版本,并做好资产自查以及预防工作,以免遭受黑客攻击。

2. 漏洞概述

漏洞名称:Apache Tomcat信息泄露漏洞
CVE编号:CVE-2023-28708
简述:当Apache Tomcat的RemoteIpFilter和HTTP反向代理一起使用时,如果请求中包含设置为https的X-Forwarded-Proto标头,则Tomcat创建的会话cookie未包括安全属性,可能导致用户代理通过不安全的通道传输会话cookie,造成敏感信息泄露。

3. 漏洞危害

Apache Tomcat是一个流行的开源的Web服务器和Java代码的Servlet容器。
该漏洞可能会泄露用户信息,系统信息等,攻击者可通过该漏洞进行更深入的攻击。

4. 影响版本

Apache Tomcat版本:11.0.0-M1 – 11.0.0-M2
Apache Tomcat版本:10.1.0-M1 – 10.1.5
Apache Tomcat版本:9.0.0-M1 – 9.0.71
Apache Tomcat版本:8.5 .0 – 8.5.85

5. 解决方案

目前该漏洞已经修复,受影响用户可升级到以下版本:
Apache Tomcat版本:>= 11.0.0-M3
Apache Tomcat版本:>= 10.1.6
Apache Tomcat版本:>=9.0.72
Apache Tomcat版本:>=8.5.86
下载链接:https://tomcat.apache.org/

6. 时间轴

【-】2023年03月21日 安识科技A-Team团队监测到漏洞公布信息
【-】2023年03月22日 安识科技A-Team团队根据漏洞信息分析
【-】2023年03月23日 安识科技A-Team团队发布安全通告

如有使用到涉及到该漏洞版本的java开发者或者公司,可以及时升级tomcat版本!


版权声明:本站文章,如无说明,均为本站原创,转载请注明文章来源。如有侵权,请联系博主删除。
本文链接:https://www.panziye.com/java/javatools/6030.html
喜欢 (0)
请潘老师喝杯Coffee吧!】
分享 (0)
用户头像
发表我的评论
取消评论
表情 贴图 签到 代码

Hi,您需要填写昵称和邮箱!

  • 昵称【必填】
  • 邮箱【必填】
  • 网址【可选】