漏洞名称:
Apache Tomcat 信息泄露漏洞CVE-2023-28708
组件名称:
Apache Tomcat
影响范围:
11.0.0-M1 ≤ Apache Tomcat ≤ 11.0.0-M2
10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.5
9.0.0-M1 ≤ Apache Tomcat ≤ 9.0.71
8.5.0 ≤ Apache Tomcat ≤ 8.5.85
漏洞类型:
信息泄露
利用条件:
1、用户认证:不需要用户认证
2、前置条件:无
3、触发方式:远程
综合评价:
<综合评定利用难度>:未知。
<综合评定威胁等级>:高危,能造成Cookie或Session不安全传输。
官方解决方案:
已发布
漏洞分析
组件介绍
Apache Tomcat软件是Jakarta Servlet、 Jakarta Server Pages、 Jakarta Expression Language、 Jakarta WebSocket、 Jakarta Annotations和 Jakarta Authentication 规范的开源实现 。Apache Tomcat实现了对Servlet和JavaServer Page(JSP)的支持,并提供了作为Web服务器的一些特有功能,如Tomcat管理和控制平台、安全域管理和Tomcat阀等。
漏洞简介
2023 年 3 月 24 日,深信服安全团队监测到一则 Apache Tomcat 组件存在信息泄露漏洞的信息,漏洞编号:CVE-2023-28708,漏洞威胁等级:高危。
该漏洞是由于 RemoteIpFilter 接受携带 X-Forwarded-Proto 请求头的通过反向代理的 HTTP 协议请求被设置为 HTTPS 时,Tomcat 创建的会话或 Cookie 不包括安全属性,这可能会导致用户代理将 Cookie 或 Session 通过不安全的隧道传输。攻击者可利用该漏洞在未授权的情况下泄漏 Cookie 或 Session,最终造成服务器敏感性信息泄露。
影响范围
目前受影响的 Apache Tmocat 版本:
11.0.0-M1 ≤ Apache Tomcat ≤ 11.0.0-M2
10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.5
9.0.0-M1 ≤ Apache Tomcat ≤ 9.0.71
8.5.0 ≤ Apache Tomcat ≤ 8.5.85
解决方案
如何检测组件版本
Windows 系统
在 Tomcat 的 bin 目录下,输入 catalina version 命令即可显示当前版本信息。
Linux 系统
在 bin 目录下执行 sh version.sh 命令或 ./version.sh 命令可显示当前版本信息。
官方修复建议
当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。各个版本链接如下:
Apache Tomcat 11系列: https://tomcat.apache.org/download-11.cgi
Apache Tomcat 10系列: https://tomcat.apache.org/download-10.cgi
Apache Tomcat 9系列: https://tomcat.apache.org/download-90.cgi
Apache Tomcat 8系列: https://tomcat.apache.org/download-80.cgi
深信服解决方案
1.风险资产发现
支持对 Apache Tomcat 组件的主动检测,可批量检出业务场景中该事件的受影响资产情况,相关产品如下:
【深信服主机安全检测响应平台CWPP】已发布资产检测方案。
【深信服云镜YJ】已发布资产检测方案。
2.漏洞主动检测
支持对 Apache Tomcat 信息泄漏漏洞的主动检测,可批量快速检出业务场景中是否存在漏洞风险,相关产品如下:
【深信服云镜YJ】预计2023年3月27日发布检测方案。
【深信服漏洞评估工具TSS】预计2023年3月27日发布检测方案。
【深信服主机安全检测响应平台CWPP】预计2023年3月27日发布检测方案。
【深信服安全托管服务MSS】预计2023年3月27日发布检测方案。
【深信服安全检测与响应平台XDR】预计2023年3月27日发布检测方案。
参考链接
https://lists.apache.org/thread/hdksc59z3s7tm39x0pp33mtwdrt8qr67
https://tomcat.apache.org/security-11.html
https://tomcat.apache.org/security-10.html
https://tomcat.apache.org/security-9.html
https://tomcat.apache.org/security-8.html
时间轴
2023/3/24
深信服监测到 Apache Tomcat 官方发布安全补丁。
2023/3/24
深信服千里目安全技术中心发布漏洞通告。
点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。
原文始发于微信公众号(深信服千里目安全技术中心):【漏洞通告】Apache Tomcat 信息泄露漏洞CVE-2023-28708
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论