【误差通告】Apache Tomcat拒绝效劳误差 (CVE-2021-42340)

宣布时间 2021-10-15

0x00 误差概述

CVE     ID

CVE-2021-42340

时      间

2021-10-14

类      型

Dos

等      级

高危

远程使用

是

影响规模


攻击重漂后


可用性


用户交互


所需权限


PoC/EXP


在野使用

否

 

0x01 误差详情

image.png

Tomcat是由Apache软件基金会下属的Jakarta项目开发的一个Servlet容器，，，，，实现了对Servlet和JavaServer Page（"text-indent:28px;line-height:150%">2021年10月14日，，，，，Apache宣布清静通告，，，，，果真了Apache Tomcat中的一个拒绝效劳误差（CVE-2021-42340）。。。。 。

由于63362 bug的修复导致了内存走漏问题，，，，，为网络HTTP升级毗连的指标而引入的工具在毗连关闭后没有为WebSocket毗连释放。。。。 。随着时间的推移，，，，，可能会通过 OutOfMemoryError 导致拒绝效劳。。。。 。

 

影响规模

Apache Tomcat 10.1.0-M1 - 10.1.0-M5

Apache Tomcat 10.0.0-M10 - 10.0.11

Apache Tomcat 9.0.40 - 9.0.53

Apache Tomcat 8.5.60 - 8.5.71

 

0x02 处置惩罚建议

现在此误差已经修复，，，，，建议受影响的用户实时升级更新到以下版本：

Apache Tomcat 10.1.0-M6 或更高版本

Apache Tomcat 10.0.12 或更高版本

Apache Tomcat 9.0.54 或更高版本

Apache Tomcat 8.5.72 或更高版本

下载链接：

https://tomcat.apache.org/download-10.cgi

 

0x03 参考链接

https://tomcat.apache.org/security-10.html

http://mail-archives.apache.org/mod_mbox/www-announce/202110.mbox/%3C9b8b83e3-7fec-a26d-7780-e5d4a85f7df6@apache.org%3E

https://github.com/apache/tomcat/commit/31d62426645824bdfe076a0c0eafa904d90b4fb9

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42340

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-10-15

首次宣布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

CVSS：www.first.org

NVD：nvd.nist.gov

 

0x06 关于鉴黑担保网

关注以下公众号，，，，，获取更多资讯：

image.png