Apache Tomcat 拒绝服务漏洞通告(1)

1 漏洞简述

2021年10月15日，360CERT监测发现Apache 官方发布了Apache Tomcat 拒绝服务漏洞的风险通告，漏洞编号为CVE-2021-42340，漏洞等级：高危，漏洞评分：7.8。

Tomcat是由Apache软件基金会下属的Jakarta项目开发的一个Servlet容器，使用场景丰富。拒绝服务攻击能够破坏Tomcat服务可用性，漏洞危害较大。

对此，360CERT建议广大用户及时将Apache Tomcat升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

2 风险等级

360CERT对该漏洞的评定结果如下

| 评定方式 | 等级 |

| — | — |

| 威胁等级 | 高危 |

| 影响面 | 广泛 |

| 攻击者价值 | 高 |

| 利用难度 | 低 |

| 360CERT评分 | 7.8 |

3 漏洞详情

CVE-2021-42340: Apache Tomcat 拒绝服务漏洞

CVE: CVE-2021-42340

组件: tomcat

漏洞类型: 拒绝服务

影响: 破坏服务可用性

简述: 由于对历史 bug 63362 的修复引入了内存泄漏。当Tomcat WebSocket连接关闭时，用于收集 HTTP 升级连接指标的对象没有被释放，这就造成了内存泄漏，于是攻击者能够通过OutOfMemoryError造成拒绝服务。如果您正在学习Spring Boot，推荐一个连载多年还在继续更新的免费教程：http://blog.didispace.com/spring-boot-learning-2x/

4 影响版本

| 组件 | 影响版本 | 安全版本 |

| — | — | — |

| Apache Tomcat | 10.1.0-M1 - 10.1.0-M5 | >= 10.1.0-M6 |

| Apache Tomcat | 10.0.0-M10 - 10.0.11 | >= 10.0.12 |

| Apache Tomcat | 9.0.40 - 9.0.53 | >= 9.0.54 |

| Apache Tomcat | 8.5.60 - 8.5.71 | >= 8.5.72 |

5 修复建议

通用修补建议

根据影响版本中的信息，排查并升级到安全版本

6 时间线

2021-10-14 Apache官方发布通告

2021-10-15 360CERT发布通告

7 参考链接

https://www.mail.archive.com/announce@apache.org/msg06812.html

往期推荐

云原生时代，Java的危与机

Spring Boot + MyBatis + MySQL 实现读写分离！

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Java开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

如果你觉得这些内容对你有帮助，可以扫码获取！！（备注：Java）

总结：绘上一张Kakfa架构思维大纲脑图（xmind）

其实关于Kafka，能问的问题实在是太多了，扒了几天，最终筛选出44问：基础篇17问、进阶篇15问、高级篇12问，个个直戳痛点，不知道如果你不着急看答案，又能答出几个呢？

若是对Kafka的知识还回忆不起来，不妨先看我手绘的知识总结脑图（xmind不能上传，文章里用的是图片版）进行整体架构的梳理

梳理了知识，刷完了面试，如若你还想进一步的深入学习解读kafka以及源码，那么接下来的这份《手写“kafka”》将会是个不错的选择。

• Kafka入门

• 为什么选择Kafka

• Kafka的安装、管理和配置

• Kafka的集群

• 第一个Kafka程序

• Kafka的生产者

• Kafka的消费者

• 深入理解Kafka

• 可靠的数据传递

• Spring和Kafka的整合

• SpringBoot和Kafka的整合

• Kafka实战之削峰填谷

• 数据管道和流式处理(了解即可)

《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取！
片转存中…(img-0AFiUY0R-1713810534210)]

[外链图片转存中…(img-lw6vmvrd-1713810534210)]

《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取！