【漏洞通告】Apache Tomcat拒绝服务漏洞 (CVE-2021-42340)

宣布时间 2021-10-15

0x00 漏洞概述

CVE     ID

CVE-2021-42340

时      间

2021-10-14

类      型

Dos

等      级

高危

远程利用

是

影响范围


攻击庞大度


可用性


用户交互


所需权限


PoC/EXP


在野利用

否

 

0x01 漏洞详情

image.png

Tomcat是由Apache软件基金会下属的Jakarta项目开发的一个Servlet容器，实现了对Servlet和JavaServer Page（"text-indent:28px;line-height:150%">2021年10月14日，Apache宣布宁静通告，果然了Apache Tomcat中的一个拒绝服务漏洞（CVE-2021-42340）。

由于63362 bug的修复导致了内存泄漏问题，为收集HTTP升级连接的指标而引入的工具在连接关闭后没有为WebSocket连接释放。随着时间的推移，可能会通过 OutOfMemoryError 导致拒绝服务。

 

影响范围

Apache Tomcat 10.1.0-M1 - 10.1.0-M5

Apache Tomcat 10.0.0-M10 - 10.0.11

Apache Tomcat 9.0.40 - 9.0.53

Apache Tomcat 8.5.60 - 8.5.71

 

0x02 处置建议

目前此漏洞已经修复，建议受影响的用户及时升级更新到以下版本：

Apache Tomcat 10.1.0-M6 或更高版本

Apache Tomcat 10.0.12 或更高版本

Apache Tomcat 9.0.54 或更高版本

Apache Tomcat 8.5.72 或更高版本

下载链接：

https://tomcat.apache.org/download-10.cgi

 

0x03 参考链接

https://tomcat.apache.org/security-10.html

http://mail-archives.apache.org/mod_mbox/www-announce/202110.mbox/%3C9b8b83e3-7fec-a26d-7780-e5d4a85f7df6@apache.org%3E

https://github.com/apache/tomcat/commit/31d62426645824bdfe076a0c0eafa904d90b4fb9

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42340

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-10-15

首次宣布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

CVSS：www.first.org

NVD：nvd.nist.gov

 

0x06 关于东森平台

关注以下公众号，获取更多资讯：

image.png