Apache Tomcat 资源分配控制不当

Apache Tomcat 在处理 HTTP/2 流时，Tomcat 未能正确处理某些 HTTP 头部过多的情况。这导致活动 HTTP/2 流的计数错误进而使用了不正确的无限超时时间，允许本应关闭的连接保持打开状态，导致拒绝服务。漏洞编号：CVE-2024-34750，漏洞危害等级：高危。

修复建议

正式防护方案：

官方以发布安全版本修复上述漏洞，安全版本：

Apache Tomcat >= 11.0.0-M21

Apache Tomcat >=10.1.25

Apache Tomcat >= 9.0.90

下载地址：

Tomcat 9: https://tomcat.apache.org/download-90.cgi

Tomcat 10: https://tomcat.apache.org/download-10.cgi

Tomcat 11: https://tomcat.apache.org/download-11.cgi

参考资料

https://lists.apache.org/thread/4kqf0bc9gxymjc2x7v3p7dvplnl77y8lhttps://nvd.nist.gov/vuln/detail/CVE-2024-34750https://cxsecurity.com/cveshow/CVE-2024-34750/https://access.redhat.com/security/cve/cve-2024-34750

原文始发于微信公众号（黄公子学安全）：Apache Tomcat 资源分配控制不当