漏洞名称：
Apache Tomcat HTTP请求走私漏洞
组件名称：
Apache Tomcat
影响范围：
Apache Tomcat - Apache
>=10.1.0-M1&&<=10.1.0
>=10.0.0-M1&&<=10.0.26
>=9.0.0-M1&&<=9.0.67
>=8.5.0&&<=8.5.52
漏洞类型：
HTTP请求走私
利用条件：
触发方式：远程
Apache Tomcat是美国阿帕奇（Apache）基金会的一款轻量级Web应用服务器。该程序实现了对Servlet和JavaServer Page（JSP）的支持。
2022年10月31日，Apache发布安全公告，修复了一个存在于Apache Tomcat中的HTTP请求走私漏洞。
该漏洞的存在是由于HTTP请求验证不当造成的。远程攻击者可以向服务器发送专门制作的HTTP请求，并通过无效的Content-Length报头走私任意的HTTP报头。
该漏洞可能允许攻击者执行钓鱼攻击，但需要将Tomcat配置为通过设置rejectIllegalHeader为false(不是默认配置)来忽略无效的HTTP头。
厂商已发布补丁修复漏洞，用户请尽快更新至安全版本：
升级到ApacheTomcat 10.1.1及以上版本
升级到ApacheTomcat 10.0.27及以上版本
升级到ApacheTomcat 9.0.68及以上版本
升级到ApacheTomcat8.5.83及以上版本
确保rejectIllegalHeader设置为true
云科攻防实验室拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经云科攻防实验室允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
原文始发于微信公众号（云科攻防实验室）：【漏洞通告】Apache Tomcat HTTP请求走私漏洞( CVE-2022-42252)
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论