【漏洞通告】Apache Tomcat信息泄露漏洞(CVE-2023-28708)

admin 2023年3月23日13:54:55评论525 views字数 1003阅读3分20秒阅读模式
一、漏洞概述
CVE   ID
CVE-2023-28708
发现时间
2023-03-23
类    型
信息泄露
等    级
高危
远程利用
所需权限
攻击复杂度
用户交互
PoC/EXP
未公开
在野利用

Apache Tomcat是一个流行的开源Web服务器和Java代码的Servlet容器。

3月23日,启明星辰VSRC监测到Apache官方发布安全公告,修复了Apache Tomcat中的一个信息泄露漏洞(CVE-2023-28708)。

当Apache Tomcat的RemoteIpFilter和HTTP反向代理一起使用时,如果请求中包含设置为https的X-Forwarded-Proto标头,则Tomcat创建的会话cookie未包括安全属性,可能导致用户代理通过不安全的通道传输会话cookie,造成敏感信息泄露。

 

二、影响范围

Apache Tomcat版本:11.0.0-M1 - 11.0.0-M2

Apache Tomcat版本:10.1.0-M1 - 10.1.5

Apache Tomcat版本:9.0.0-M1 - 9.0.71

Apache Tomcat版本:8.5 .0 - 8.5.85

 

三、安全措施

3.1 升级版本

目前该漏洞已经修复,受影响用户可升级到以下版本:

Apache Tomcat版本:>= 11.0.0-M3

Apache Tomcat版本:>= 10.1.6

Apache Tomcat版本:>= 9.0.72

Apache Tomcat版本:>= 8.5.86

下载链接:

https://tomcat.apache.org/

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁,减少系统漏洞,提升服务器的安全性。

加强系统和网络的访问控制,修改防火墙策略,关闭非必要的应用端口或服务,减少将危险服务(如SSH、RDP等)暴露到公网,减少攻击面。

使用企业级安全产品,提升企业的网络安全性能。

加强系统用户和权限管理,启用多因素认证机制和最小权限原则,用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://tomcat.apache.org/security-11.html

https://lists.apache.org/thread/hdksc59z3s7tm39x0pp33mtwdrt8qr67

原文始发于微信公众号(维他命安全):【漏洞通告】Apache Tomcat信息泄露漏洞(CVE-2023-28708)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年3月23日13:54:55
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞通告】Apache Tomcat信息泄露漏洞(CVE-2023-28708)https://cn-sec.com/archives/1623620.html

发表评论

匿名网友 填写信息