• 我的位置：
  • 首頁(yè)
  • -
  • 漏洞預(yù)警
  • -
  • 中間件
  • -
    • Apache Tomcat信息泄露漏洞
    • CNNVD編號(hào)：未知
    • 危害等級(jí)： 中危 
    • CVE編號(hào)：CVE-2021-24122
    • 漏洞類型： 信息泄露
    • 威脅類型：未知
    • 廠       商：未知
    • 漏洞來(lái)源：深信服
    • 發(fā)布時(shí)間：2021-01-22
    • 更新時(shí)間：2021-01-22

    漏洞簡(jiǎn)介

    1、組件介紹

    Tomcat是Apache 軟件基金會(huì)（Apache Software Foundation）的Jakarta 項(xiàng)目中的一個(gè)核心項(xiàng)目，由Apache、Sun 和其他一些公司及個(gè)人共同開(kāi)發(fā)而成。由于有了Sun 的參與和支持，最新的Servlet 和JSP 規(guī)范總是能在Tomcat 中得到體現(xiàn)，Tomcat 5支持最新的Servlet 2.4 和JSP 2.0 規(guī)范。Tomcat 服務(wù)器是一個(gè)免費(fèi)的開(kāi)放源代碼的Web 應(yīng)用服務(wù)器，屬于輕量級(jí)應(yīng)用服務(wù)器，在中小型系統(tǒng)和并發(fā)訪問(wèn)用戶不是很多的場(chǎng)合下被普遍使用，是開(kāi)發(fā)和調(diào)試JSP 程序的首選。

    2、漏洞描述
    近日，深信服安全團(tuán)隊(duì)監(jiān)測(cè)到一則Apache Tomcat組件存在信息泄露漏洞的信息，漏洞編號(hào)：CVE-2021-24122，漏洞：中危。該漏洞是由JRE 的API File.getCanonicalPath()在一些情況下的路徑處理與Windows API FindFirstFileW不一致導(dǎo)致的，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)，最終造成服務(wù)器敏感性信息泄露。

    漏洞公示

    暫無(wú)

    參考網(wǎng)站

    暫無(wú)

    受影響實(shí)體

    目前受影響的Apache Tomcat版本：

    Apache Tomcat 10.0.0-M1 to 10.0.0-M9

    Apache Tomcat 9.0.0.M1 to 9.0.39

    Apache Tomcat 8.5.0 to 8.5.59

    Apache Tomcat 7.0.0 to 7.0.106

    補(bǔ)丁

    1、官方修復(fù)建議

    目前廠商已發(fā)布升級(jí)補(bǔ)丁修復(fù)漏洞，請(qǐng)受影響用戶及時(shí)更新官方補(bǔ)丁。官方鏈接如下：

    https://tomcat.apache.org/security-10.html

    2、深信服解決方案

    【深信服安全運(yùn)營(yíng)服務(wù)】深信服云端安全專家提供7*24小時(shí)持續(xù)的安全運(yùn)營(yíng)服務(wù)。對(duì)存在漏洞的用戶，檢查并更新了客戶防護(hù)設(shè)備的策略，確保客戶防護(hù)設(shè)備可以防御此漏洞風(fēng)險(xiǎn)。

    【深信服安全云眼】在漏洞爆發(fā)之初，已完成檢測(cè)更新，對(duì)所有用戶網(wǎng)站探測(cè)，保障用戶安全。不清楚自身業(yè)務(wù)是否存在漏洞的用戶，可注冊(cè)信服云眼賬號(hào)，獲取30天免費(fèi)安全體驗(yàn)。

    注冊(cè)地址：http://saas.sangfor.com.cn

    【深信服云鏡】在漏洞爆發(fā)第一時(shí)間即完成檢測(cè)能力的發(fā)布，部署了云鏡的用戶可以通過(guò)升級(jí)來(lái)快速檢測(cè)網(wǎng)絡(luò)中是否受該高危風(fēng)險(xiǎn)影響，避免被攻擊者利用。離線使用云鏡的用戶需要下載離線更新包來(lái)獲得漏洞檢測(cè)能力，可以連接云端升級(jí)的用戶可自動(dòng)獲得漏洞檢測(cè)能力。