安基網 首頁 資訊 安全報 查看內容

Tomcat爆出安全漏洞!Spring Cloud/Boot框架多個版本受影響

2020-7-10 00:18| 投稿: xiaotiger |來自: 互聯網


免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!

摘要: 01 事件背景6月25日, Apache 官方安全團隊通過郵件公開報告了一個高危漏洞,郵件中介紹了 HTTP/2 拒絕服務漏洞的細節及解決方案。如下圖所示:漏洞詳情鏈接:http://mail-archives.apache.org/mod_mbox/www-announce/202006.mbox/%[email protected]%3E翻譯漏洞名稱 ...

01 事件背景

6月25日, Apache 官方安全團隊通過郵件公開報告了一個高危漏洞,郵件中介紹了 HTTP/2 拒絕服務漏洞的細節及解決方案。如下圖所示:

漏洞詳情鏈接:

http://mail-archives.apache.org/mod_mbox/www-announce/202006.mbox/%[email protected]%3E

翻譯

  • 漏洞名稱:Apache Tomcat HTTP/2 拒絕服務漏洞
  • 漏洞編號:CVE-2020-11996
  • 嚴重程度: 重要
  • 軟件提供商: Apache 軟件基金會
  • 受影響的版本:

Apache Tomcat 10.0.0-M1 ~ 10.0.0-M5

Apache Tomcat 9.0.0.M1 ~ 9.0.35

Apache Tomcat 8.5.0 ~ 8.5.55

  • 漏洞描述:一個特別制作的 HTTP/2 請求序列,在短短數秒內能導致 CPU 滿負載率,如果有足夠數量多的此類請求連接(HTTP/2)并發放在服務器上,服務器可能會失去響應。

如果條件允許,可以通過升級到Tomcat新版本來解決漏洞。下面為受影響版本對應的安全版本:

  • Apache Tomcat 10.0.0-M6+
  • Apache Tomcat 9.0.36+
  • Apache Tomcat 8.5.56+

02 Spring Cloud / Boot 框架影響

Apache Tomcat HTTP/2 拒絕服務漏洞也給Spring Cloud / Boot 框架帶來了一定的影響。下面是所有受影響的版本列表,大家可以查看并對照下自己的代碼,看看是否受到影響。

Spring Cloud Edgware / Spring Boot 1.5.x

Spring Cloud [Edgware.RELEASE - Edgware.SR6] 版本受到影響。

Spring Boot [1.5.0.RELEASE - 1.5.22.RELEASE] 版本受到影響。

Spring Cloud Finchley / Spring Boot 2.0.x

Spring Cloud [Finchley.RELEASE - Finchley.SR4] 版本受到影響。

Spring Boot [2.0.0.RELEASE - 2.0.9.RELEASE] 版本受到影響。

Spring Cloud Greenwich / Spring Boot 2.1.x

Spring Cloud [Greenwich.RELEASE - Greenwich.SR6] 版本受到影響。

Spring Boot [2.1.0.RELEASE - 2.1.14.RELEASE] 版本受到影響。

Spring Boot [2.1.15.RELEASE] 版本已修復。

Spring Cloud Hoxton / Spring Boot 2.2.x

Spring Cloud [Hoxton.RELEASE - Hoxton.SR6] 版本受到影響。

Spring Boot [2.2.0.RELEASE - 2.2.7.RELEASE] 版本受到影響。

Spring Boot [2.2.8.RELEASE] 版本已修復。

Spring Boot 2.3.x

Spring Boot [2.3.0.RELEASE] 版本受到影響。

Spring Boot [2.3.1.RELEASE] 版本已修復。


03 升級方案

為了避免上述漏洞,現有兩種升級方案:

  1. 直接升級Spring Boot版本。
  2. 手動升級Tomcat版本。

升級 Spring Cloud Edgware / Spring Boot 1.5.x

Edgware無法通過升級Spring Boot版本解決問題。


8.5.56





org.apache.tomcat.embed
tomcat-embed-core
${tomcat-embed.version}


org.apache.tomcat.embed
tomcat-embed-el
${tomcat-embed.version}


org.apache.tomcat.embed
tomcat-embed-websocket
${tomcat-embed.version}


org.apache.tomcat
tomcat-annotations-api
${tomcat-embed.version}


升級Spring Cloud Finchley / Spring Boot 2.0.x

Finchley無法通過升級Spring Boot版本解決問題。


8.5.56





org.apache.tomcat.embed
tomcat-embed-core
${tomcat-embed.version}


org.apache.tomcat.embed
tomcat-embed-el
${tomcat-embed.version}


org.apache.tomcat.embed
tomcat-embed-websocket
${tomcat-embed.version}


升級Spring Cloud Greenwich / Spring Boot 2.1.x

1. 升級Spring Boot


org.springframework.boot
spring-boot-starter-parent
2.1.15.RELEASE

2. 升級Tomcat


9.0.36





org.apache.tomcat.embed
tomcat-embed-core
${tomcat-embed.version}


org.apache.tomcat.embed
tomcat-embed-el
${tomcat-embed.version}


org.apache.tomcat.embed
tomcat-embed-websocket
${tomcat-embed.version}


升級Spring Cloud Hoxton / Spring Boot 2.2.x

1. 升級Spring Boot


org.springframework.boot
spring-boot-starter-parent
2.2.8.RELEASE

2. 升級Tomcat


9.0.36





org.apache.tomcat.embed
tomcat-embed-core
${tomcat-embed.version}


org.apache.tomcat.embed
tomcat-embed-el
${tomcat-embed.version}


org.apache.tomcat.embed
tomcat-embed-websocket
${tomcat-embed.version}


升級Spring Boot 2.3.x

1. 升級Spring Boot


org.springframework.boot
spring-boot-starter-parent
2.3.1.RELEASE

2. 升級Tomcat


9.0.36





org.apache.tomcat.embed
tomcat-embed-core
${tomcat-embed.version}


org.apache.tomcat.embed
tomcat-embed-websocket
${tomcat-embed.version}
"

小編推薦:欲學習電腦技術、系統維護、網絡管理、編程開發和安全攻防等高端IT技術,請 點擊這里 注冊賬號,公開課頻道價值萬元IT培訓教程免費學,讓您少走彎路、事半功倍,好工作升職加薪!

本文出自:https://www.toutiao.com/i6847291871652217358/

免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!


鮮花

握手

雷人

路過

雞蛋

相關閱讀

最新評論

 最新
返回頂部
创业如何赚钱 吉林新快三开奖号码 上海快三开奖结果今天! 股市趋势技术分析在线阅读 龙江风采22选五开奖 江西快三一定牛 江西多乐彩十一选五今 安徽快3开奖数据 吉林快3三开奖结果 快乐十二分开奖结果查询 福彩3d中奖最新技巧 新疆体育彩票11选5开奖 山西11选5 金桥大通 福建体彩31选7开奖结果 手机炒股app排名 江西任选5中奖规则