【漏洞通告】Apache Tomcat拒绝服务漏洞 (CVE-2021-42340)
发布时间 2021-10-150x00 漏洞概述
CVE ID | CVE-2021-42340 | 时 间 | 2021-10-14 |
类 型 | Dos | 等 级 | 高危 |
远程利用 | 是 | 影响范围 | |
攻击复杂度 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 在野利用 | 否 |
0x01 漏洞详情
Tomcat是由Apache软件基金会下属的Jakarta项目开发的一个Servlet容器，实现了对Servlet和JavaServer Page（"text-indent:28px;line-height:150%">2021年10月14日，Apache发布安全公告，公开了Apache Tomcat中的一个拒绝服务漏洞（CVE-2021-42340）。
由于63362 bug的修复导致了内存泄漏问题，为收集HTTP升级连接的指标而引入的对象在连接关闭后没有为WebSocket连接释放。随着时间的推移，可能会通过 OutOfMemoryError 导致拒绝服务。
影响范围
Apache Tomcat 10.1.0-M1 - 10.1.0-M5
Apache Tomcat 10.0.0-M10 - 10.0.11
Apache Tomcat 9.0.40 - 9.0.53
Apache Tomcat 8.5.60 - 8.5.71
0x02 处置建议
目前此漏洞已经修复，建议受影响的用户及时升级更新到以下版本：
Apache Tomcat 10.1.0-M6 或更高版本
Apache Tomcat 10.0.12 或更高版本
Apache Tomcat 9.0.54 或更高版本
Apache Tomcat 8.5.72 或更高版本
下载链接：
https://tomcat.apache.org/download-10.cgi
0x03 参考链接
https://tomcat.apache.org/security-10.html
http://mail-archives.apache.org/mod_mbox/www-announce/202110.mbox/%3C9b8b83e3-7fec-a26d-7780-e5d4a85f7df6@apache.org%3E
https://github.com/apache/tomcat/commit/31d62426645824bdfe076a0c0eafa904d90b4fb9
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42340
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-10-15 | 首次发布 |
0x05 文档附录
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
CVSS：www.first.org
NVD：nvd.nist.gov
0x06 关于我们
关注以下公众号，获取更多资讯：
京公网安备11010802024551号