【缝隙公告】Apache Tomcat回绝服务缝隙 (CVE-2021-42340)

颁布功夫 2021-10-15

0x00 缝隙概述

CVE     ID

CVE-2021-42340

时      间

2021-10-14

类      型

Dos

等      级

高危

远程利用

是

影响领域


攻击复杂度


可用性


用户交互


所需权限


PoC/EXP


在野利用

否

 

0x01 缝隙详情

image.png

Tomcat是由Apache软件基金会下属的Jakarta项目开发的一个Servlet容器，实现了对Servlet和JavaServer Page（"text-indent:28px;line-height:150%">2021年10月14日，Apache颁布安全布告，公开了Apache Tomcat中的一个回绝服务缝隙（CVE-2021-42340）。

由于63362 bug的建复导致了内存泄漏问题，为网络HTTP升级衔接的指标而引入的对象在衔接关关后没有为WebSocket衔接开释。随着功夫的推移，可能会通过 OutOfMemoryError 导致回绝服务。

 

影响领域

Apache Tomcat 10.1.0-M1 - 10.1.0-M5

Apache Tomcat 10.0.0-M10 - 10.0.11

Apache Tomcat 9.0.40 - 9.0.53

Apache Tomcat 8.5.60 - 8.5.71

 

0x02 措置建议

目前此缝隙已经建复，建议受影响的用户实时升级更新到以下版本：

Apache Tomcat 10.1.0-M6 或更高版本

Apache Tomcat 10.0.12 或更高版本

Apache Tomcat 9.0.54 或更高版本

Apache Tomcat 8.5.72 或更高版本

下载链接：

https://tomcat.apache.org/download-10.cgi

 

0x03 参考链接

https://tomcat.apache.org/security-10.html

http://mail-archives.apache.org/mod_mbox/www-announce/202110.mbox/%3C9b8b83e3-7fec-a26d-7780-e5d4a85f7df6@apache.org%3E

https://github.com/apache/tomcat/commit/31d62426645824bdfe076a0c0eafa904d90b4fb9

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42340

 

0x04 更新版本

版本

日期

批改内容

V1.0

2021-10-15

初次颁布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

CVSS：www.first.org

NVD：nvd.nist.gov

 

0x06 关于宝运莱官方网站

关注以下公家号，获取更多资讯：

image.png