Apache Tomcat h2c要求混合缝隙（CVE-2021-25122）
颁布功夫 2021-03-020x00 缝隙概述
CVE ID | CVE-2021-25122 | 时 间 | 2021-03-02 |
类 型 | 等 级 | 高危 | |
远程利用 | 是 | 影响领域 |
0x01 缝隙详情
2021年03月01日 ，Apache官方颁布安全布告 ，建复了Tomcat中的一个 h2c要求混合缝隙（CVE-2021-25122）。
当响应新的h2c衔接要求时 ，Apache Tomcat能够将要求标头和数量有限的要求主体从一个要求复造到另一个要求 ，这将导致用户A和用户B都能够看到用户A的要求了局。目前该缝隙已经建复 ，代码如下：
影响领域
Apache Tomcat 10.0.0-M1-10.0.0
Apache Tomcat 9.0.0.M1-9.0.41
Apache Tomcat 8.5.0-8.5.61
此表 ，由于Apache Tomcat对CVE-2020-9484的建复不齐全 ，导致Tomcat依然容易受到针对CVE-2020-9484的攻击（缝隙追踪为CVE-2021-25329 ，低危）。该缝隙将影响Apache Tomcat版本10.0.0-M1-10.0.0、9.0.0.M1-9.0.41、8.5.0-8.5.61、7.0.0-7.0.107 ，CVE-2020-9484的利用前提及缓解措施同样合用于此缝隙。
0x02 措置建议
针对CVE-2021-25122 ，建议升级至以下版本：
Apache Tomcat 10.0.2或更高版本。
Apache Tomcat 9.0.43或更高版本。
Apache Tomcat 8.5.63或更高版本。
针对CVE-2021-25329 ，建议升级至以下版本：
Apache Tomcat 10.0.2或更高版本。
Apache Tomcat 9.0.43或更高版本。
Apache Tomcat 8.5.63或更高版本。
Apache Tomcat 7.0.108或更高版本。
下载链接：
https://tomcat.apache.org/download-10.cgi
0x03 参考链接
https://tomcat.apache.org/security-10.html
http://mail-archives.apache.org/mod_mbox/www-announce/202103.mbox/%3Cb7626398-5e6d-1639-4e9e-e41b34af84de@apache.org%3E
http://mail-archives.apache.org/mod_mbox/www-announce/202103.mbox/%3C811bba77-e74e-9f9b-62ca-5253a09ba84f@apache.org%3E
https://github.com/apache/tomcat/commit/dd757c0a893e2e35f8bc1385d6967221ae8b9b9b#
0x04 功夫线
2021-03-01 Apache颁布安全布告
2021-03-02 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号