Apache Tomcat 信息泄露漏洞CVE-2024-21733、CVE-2024-24549和CVE-2024-34750排查处理

一、漏洞描述

Apache Tomcat作为一个流行的开源Web服务器和Java Servlet容器并用于很多中小型项目的开发中。其中，Coyote作为Tomcat的连接器组件，是Tomcat服务器提供的供客户端访问的外部接口，客户端通过Coyote与服务器建立链接、发送请求并且接收响应。

近日发现Apache Tomcat中修复了一个信息泄露漏洞（CVE-2024-21733）。Apache Tomcat版本9.0.0-M11 - 9.0.43、8.5.7 - 8.5.63中均存在该信息泄露漏洞，由于coyote/http11/Http11InputBuffer.java中在抛出CloseNowException异常后没有重置缓冲区位置和限制，威胁者可可以通过构造特定请求，发送不完整的POST触发错误响应，从而可能导致获取其他用户先前请求的数据，造成信息泄露。

漏洞名称：Apache Tomcat 信息泄露漏洞，关联漏洞：CVE-2024-24549、CVE-2024-34750
漏洞编号：CVE-2024-21733
漏洞等级：高危
安全建议：目前该漏洞已经修复，受影响用户可升级到以下版本：

Apache Tomcat >= 9.0.44
Apache Tomcat >= 8.5.64

关联资源：spring官网、tomcat官网、mvn仓库、Tomcat安全中心、Nist网站

二、排查处理

现场的为中小型项目，未直接使用功能tomcat作为容器使用，仅是jar包里spring-boor框架引入tomcat 内嵌到 web项目中作为web server使用，从而保证项目包可直接运行 webapp项目，无需再部署到额外的tomcat服务了；

现场用的SpringBoot，内部集成了spring的很多模块，比如tomcat、redis等。用SpringBoot搭建项目，只需要在pom.xml引入相关的依赖，和在配置文件中做些简单的配置就可以使用相应模块了。对于servlet stack applications, the spring-boot-starter-web includes Tomcat by including spring-boot-starter-tomcat, but you can use spring-boot-starter-jetty or spring-boot-starter-undertow instead，更多参看web-server。springboot默认引入了spring-boot-starter-tomcat包，使TomcatServletWebServerFactory可以自动装配，在获取getBeanFactory().getBeanNamesForType(ServletWebServerFactory.class)时，默认得获取的beanName就是 tomcatServletWebServerFactory, 从而调用TomcatServletWebServerFactory的getWebServer方法创建TomcatWebServer， 启动tomcat。

<dependency>
	<groupId>org.springframework.boot</groupId>
	<artifactId>spring-boot-starter-web</artifactId>
	<exclusions>
		<!-- Exclude the Tomcat dependency -->
		<exclusion>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-tomcat</artifactId>
		</exclusion>
	</exclusions>
</dependency>

SpringBoot应用启动器基本的一共有44种，如下所示：

1）spring-boot-starter 这是Spring Boot的核心启动器，包含了自动配置、日志和YAML。

2）spring-boot-starter-actuator 帮助监控和管理应用。

3）spring-boot-starter-amqp 通过spring-rabbit来支持AMQP协议（Advanced Message Queuing Protocol）。

4）spring-boot-starter-aop 支持面向方面的编程即AOP，包括spring-aop和AspectJ。

5）spring-boot-starter-artemis 通过Apache Artemis支持JMS的API（Java Message Service API）。

6）spring-boot-starter-batch 支持Spring Batch，包括HSQLDB数据库。

7）spring-boot-starter-cache 支持Spring的Cache抽象。

8）spring-boot-starter-cloud-connectors 支持Spring Cloud Connectors，简化了在像Cloud Foundry或Heroku这样的云平台上连接服务。

9）spring-boot-starter-data-elasticsearch 支持ElasticSearch搜索和分析引擎，包括spring-data-elasticsearch。

10）spring-boot-starter-data-gemfire 支持GemFire分布式数据存储，包括spring-data-gemfire。

11）spring-boot-starter-data-jpa 支持JPA（Java Persistence API），包括spring-data-jpa、spring-orm、hibernate。