【漏洞通告】Apache Tomcat信息泄露漏洞（CVE-2023-28708）

Apache Tomcat是一个流行的开源Web服务器和Java代码的Servlet容器。

3月23日，启明星辰VSRC监测到Apache官方发布安全公告，修复了Apache Tomcat中的一个信息泄露漏洞（CVE-2023-28708）。

当Apache Tomcat的RemoteIpFilter和HTTP反向代理一起使用时，如果请求中包含设置为https的X-Forwarded-Proto标头，则Tomcat创建的会话cookie未包括安全属性，可能导致用户代理通过不安全的通道传输会话cookie，造成敏感信息泄露。

二、影响范围

Apache Tomcat版本：11.0.0-M1 - 11.0.0-M2

Apache Tomcat版本：10.1.0-M1 - 10.1.5

Apache Tomcat版本：9.0.0-M1 - 9.0.71

Apache Tomcat版本：8.5 .0 - 8.5.85

三、安全措施

3.1 升级版本

目前该漏洞已经修复，受影响用户可升级到以下版本：

Apache Tomcat版本：>= 11.0.0-M3

Apache Tomcat版本：>= 10.1.6

Apache Tomcat版本：>= 9.0.72

Apache Tomcat版本：>= 8.5.86

下载链接：

https://tomcat.apache.org/

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://tomcat.apache.org/security-11.html

https://lists.apache.org/thread/hdksc59z3s7tm39x0pp33mtwdrt8qr67

原文始发于微信公众号（维他命安全）：【漏洞通告】Apache Tomcat信息泄露漏洞（CVE-2023-28708）