点击蓝字
关注我们
漏
洞
预
警
一、基本情况
|
近日，Apache官方发布安全公告，修复了Tomcat中的一个h2c请求混合漏洞，该漏洞编号：CVE-2021-25122。攻击者可利用该漏洞查看用户的请求结果。目前官方已修复该漏洞，建议受影响用户及时升级最新版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。 |
二、漏洞等级
|
高危 |
三、漏洞描述
|
Apache Tomcat是美国阿帕奇（Apache）基金会的一款轻量级Web应用服务器。该程序实现了对Servlet和JavaServer Page（JSP）的支持。 当响应新的h2c连接请求时，Apache Tomcat可以将请求标头和数量有限的请求主体从一个请求复制到另一个请求，这将导致用户A和用户B都可以看到用户A的请求结果。 |
四、影响范围
|
五、安全建议
|
建议受影响用户及时将Tomcat升级至10.0.2，9.0.43、8.5.63或更高版本进行漏洞修复。 下载地址：https://tomcat.apache.org/ |
六、参考链接
|
https://lists.apache.org/thread.html/r7b95bc248603360501f18c8eb03bb6001ec0ee3296205b34b07105b7@%3Cannounce.apache.org%3E |
支持单位：
中国信息通信研究院
长按二维码 ｜关注我们
我知道你在看哟
原文始发于微信公众号（网络安全威胁和漏洞信息共享平台）：Apache Tomcat H2C请求混合漏洞（CVE-2021-25122）预警
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论