Apache Tomcat 拒绝服务漏洞通告(1)

1 漏洞简述

2021年10月15日，360CERT监测发现Apache 官方发布了Apache Tomcat 拒绝服务漏洞的风险通告，漏洞编号为CVE-2021-42340，漏洞等级：高危，漏洞评分：7.8。

Tomcat是由Apache软件基金会下属的Jakarta项目开发的一个Servlet容器，使用场景丰富。拒绝服务攻击能够破坏Tomcat服务可用性，漏洞危害较大。

对此，360CERT建议广大用户及时将Apache Tomcat升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

2 风险等级

360CERT对该漏洞的评定结果如下

| 评定方式 | 等级 |

| — | — |

| 威胁等级 | 高危 |

| 影响面 | 广泛 |

| 攻击者价值 | 高 |

| 利用难度 | 低 |

| 360CERT评分 | 7.8 |

3 漏洞详情

CVE-2021-42340: Apache Tomcat 拒绝服务漏洞

CVE: CVE-2021-42340

组件: tomcat

漏洞类型: 拒绝服务

影响: 破坏服务可用性

简述: 由于对历史 bug 63362 的修复引入了内存泄漏。当Tomcat WebSocket连接关闭时，用于收集 HTTP 升级连接指标的对象没有被释放，这就造成了内存泄漏，于是攻击者能够通过OutOfMemoryError造成拒绝服务。如果您正在学习Spring Boot，推荐一个连载多年还在继续更新的免费教程：http://blog.didispace.com/spring-boot-learning-2x/

4 影响版本

| 组件 | 影响版本 | 安全版本 |

| — | — | — |

| Apache Tomcat | 10.1.0-M1 - 10.1.0-M5 | >= 10.1.0-M6 |

| Apache Tomcat | 10.0.0-M10 - 10.0.11 | >= 10.0.12 |

| Apache Tomcat | 9.0.40 - 9.0.53 | >= 9.0.54 |

| Apache Tomcat | 8.5.60 - 8.5.71 | >= 8.5.72 |

5 修复建议

通用修补建议

根据影响版本中的信息，排查并升级到安全版本

6 时间线

2021-10-14 Apache官方发布通告

2021-10-15 360CERT发布通告

7 参考链接

https://www.mail.archive.com/announce@apache.org/msg06812.html

往期推荐

云原生时代，Java的危与机

Spring Boot + MyBatis + MySQL 实现读写分离！

最后

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Java工程师，想要提升技能，往往是自己摸索成长，自己不成体系的自学效果低效漫长且无助。

因此收集整理了一份《2024年Java开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，不论你是刚入门Java开发的新手，还是希望在技术上不断提升的资深开发者，这些资料都将为你打开新的学习之门！

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！
之门！**

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！