• 我的位置：
  • 首頁
  • -
  • 漏洞預警
  • -
  • 中間件
  • -
    • Apache Tomcat信息泄露漏洞
    • CNNVD編號：未知
    • 危害等級： 中危 
    • CVE編號：CVE-2021-24122
    • 漏洞類型： 信息泄露
    • 威脅類型：未知
    • 廠       商：未知
    • 漏洞來源：深信服
    • 發(fā)布時間：2021-01-22
    • 更新時間：2021-01-22

    漏洞簡介

    1、組件介紹

    Tomcat是Apache 軟件基金會（Apache Software Foundation）的Jakarta 項目中的一個核心項目，由Apache、Sun 和其他一些公司及個人共同開發(fā)而成。由于有了Sun 的參與和支持，最新的Servlet 和JSP 規(guī)范總是能在Tomcat 中得到體現(xiàn)，Tomcat 5支持最新的Servlet 2.4 和JSP 2.0 規(guī)范。Tomcat 服務器是一個免費的開放源代碼的Web 應用服務器，屬于輕量級應用服務器，在中小型系統(tǒng)和并發(fā)訪問用戶不是很多的場合下被普遍使用，是開發(fā)和調試JSP 程序的首選。

    2、漏洞描述
    近日，深信服安全團隊監(jiān)測到一則Apache Tomcat組件存在信息泄露漏洞的信息，漏洞編號：CVE-2021-24122，漏洞：中危。該漏洞是由JRE 的API File.getCanonicalPath()在一些情況下的路徑處理與Windows API FindFirstFileW不一致導致的，攻擊者可利用該漏洞在未授權的情況下，構造惡意數(shù)據(jù)，最終造成服務器敏感性信息泄露。

    漏洞公示

    暫無

    參考網(wǎng)站

    暫無

    受影響實體

    目前受影響的Apache Tomcat版本：

    Apache Tomcat 10.0.0-M1 to 10.0.0-M9

    Apache Tomcat 9.0.0.M1 to 9.0.39

    Apache Tomcat 8.5.0 to 8.5.59

    Apache Tomcat 7.0.0 to 7.0.106

    補丁

    1、官方修復建議

    目前廠商已發(fā)布升級補丁修復漏洞，請受影響用戶及時更新官方補丁。官方鏈接如下：

    https://tomcat.apache.org/security-10.html

    2、深信服解決方案

    【深信服安全運營服務】深信服云端安全專家提供7*24小時持續(xù)的安全運營服務。對存在漏洞的用戶，檢查并更新了客戶防護設備的策略，確?？蛻舴雷o設備可以防御此漏洞風險。

    【深信服安全云眼】在漏洞爆發(fā)之初，已完成檢測更新，對所有用戶網(wǎng)站探測，保障用戶安全。不清楚自身業(yè)務是否存在漏洞的用戶，可注冊信服云眼賬號，獲取30天免費安全體驗。

    注冊地址：http://saas.sangfor.com.cn

    【深信服云鏡】在漏洞爆發(fā)第一時間即完成檢測能力的發(fā)布，部署了云鏡的用戶可以通過升級來快速檢測網(wǎng)絡中是否受該高危風險影響，避免被攻擊者利用。離線使用云鏡的用戶需要下載離線更新包來獲得漏洞檢測能力，可以連接云端升級的用戶可自動獲得漏洞檢測能力。