【漏洞预警】Apache Tomcat信息泄露漏洞

2023-03-23 13,319

1. 通告信息

近日,安识科技A-Team团队监测到Apache官方发布安全公告,修复了Apache Tomcat中的一个信息泄露漏洞,漏洞编号:CVE-2023-28708,漏洞等级:高危。
对此,安识科技建议广大用户及时升级到安全版本,并做好资产自查以及预防工作,以免遭受黑客攻击。


2. 漏洞概述

漏洞名称:Apache Tomcat信息泄露漏洞
CVE编号:CVE-2023-28708
简述:当Apache Tomcat的RemoteIpFilter和HTTP反向代理一起使用时,如果请求中包含设置为https的X-Forwarded-Proto标头,则Tomcat创建的会话cookie未包括安全属性,可能导致用户代理通过不安全的通道传输会话cookie,造成敏感信息泄露。


3. 漏洞危害

Apache Tomcat是一个流行的开源的Web服务器和Java代码的Servlet容器。
该漏洞可能会泄露用户信息,系统信息等,攻击者可通过该漏洞进行更深入的攻击。


4. 影响版本

Apache Tomcat版本:11.0.0-M1 - 11.0.0-M2
Apache Tomcat版本:10.1.0-M1 - 10.1.5
Apache Tomcat版本:9.0.0-M1 - 9.0.71
Apache Tomcat版本:8.5 .0 - 8.5.85


5. 解决方案

目前该漏洞已经修复,受影响用户可升级到以下版本:
Apache Tomcat版本:>= 11.0.0-M3
Apache Tomcat版本:>= 10.1.6
Apache Tomcat版本:>=9.0.72
Apache Tomcat版本:>=8.5.86
下载链接:https://tomcat.apache.org/


6. 时间轴

-】2023年03月21日 安识科技A-Team团队监测到漏洞公布信息
-】2023年03月22日 安识科技A-Team团队根据漏洞信息分析
-】2023年03月23日 安识科技A-Team团队发布安全通告

本文作者:安识科技

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/198143.html

评论  (0)
快来写下你的想法吧!

安识科技

文章数:190 积分: 135

安识科技:专业的企业安全解决方案提供商。官网:https://www.duoyinsu.com/

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号