首页
学习
活动
专区
圈层
工具
发布
首页
学习
活动
专区
圈层
工具
MCP广场
社区首页 >专栏 >Apache Tomcat 拒绝服务漏洞通告

Apache Tomcat 拒绝服务漏洞通告

作者头像
程序猿DD
发布2023-04-04 13:16:13
发布2023-04-04 13:16:13
8120
举报
文章被收录于专栏:程序猿DD程序猿DD

作者 | 360CERT

来源 | https://www.oschina.net/news/164556

报告编号:B6-2021-101501

报告来源:360CERT

报告作者:360CERT

更新日期:2021-10-15

1 漏洞简述

2021年10月15日,360CERT监测发现Apache 官方发布了Apache Tomcat 拒绝服务漏洞的风险通告,漏洞编号为CVE-2021-42340,漏洞等级:高危,漏洞评分:7.8

Tomcat是由Apache软件基金会下属的Jakarta项目开发的一个Servlet容器,使用场景丰富。拒绝服务攻击能够破坏Tomcat服务可用性,漏洞危害较大。

对此,360CERT建议广大用户及时将Apache Tomcat升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

2 风险等级

360CERT对该漏洞的评定结果如下

评定方式

等级

威胁等级

高危

影响面

广泛

攻击者价值

利用难度

360CERT评分

7.8

3 漏洞详情

CVE-2021-42340: Apache Tomcat 拒绝服务漏洞

CVE: CVE-2021-42340

组件: tomcat

漏洞类型: 拒绝服务

影响: 破坏服务可用性

简述: 由于对历史 bug 63362 的修复引入了内存泄漏。当Tomcat WebSocket连接关闭时,用于收集 HTTP 升级连接指标的对象没有被释放,这就造成了内存泄漏,于是攻击者能够通过OutOfMemoryError造成拒绝服务。如果您正在学习Spring Boot,推荐一个连载多年还在继续更新的免费教程:http://blog.didispace.com/spring-boot-learning-2x/

4 影响版本

组件

影响版本

安全版本

Apache Tomcat

10.1.0-M1 - 10.1.0-M5

>= 10.1.0-M6

Apache Tomcat

10.0.0-M10 - 10.0.11

>= 10.0.12

Apache Tomcat

9.0.40 - 9.0.53

>= 9.0.54

Apache Tomcat

8.5.60 - 8.5.71

>= 8.5.72

5 修复建议

通用修补建议

根据影响版本中的信息,排查并升级到安全版本

6 时间线

2021-10-14 Apache官方发布通告

2021-10-15 360CERT发布通告

7 参考链接

https://www.mail.archive.com/announce@apache.org/msg06812.html

往期推荐

云原生时代,Java的危与机

Spring Boot + MyBatis + MySQL 实现读写分离!

JVM垃圾回收的 “三色标记算法” 实现,内容太干!

面试:说说Linux 命令 su 和 sudo 的区别?

GitHub中的神奇开源,汇聚天涯神贴讨论房价涨跌,买房好帮手!

技术交流群

最近有很多人问,有没有读者交流群,想知道怎么加入。加入方式很简单,有兴趣的同学,只需要点击下方卡片,回复“加群“,即可免费加入我们的高质量技术交流群!

点击阅读原文,送你免费Spring Boot教程!

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2021-10-20,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 程序猿DD 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • 1 漏洞简述
  • 2 风险等级
  • 3 漏洞详情
    • CVE-2021-42340: Apache Tomcat 拒绝服务漏洞
  • 4 影响版本
  • 5 修复建议
    • 通用修补建议
  • 6 时间线
  • 7 参考链接
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档