Apache Tomcat H2C请求混合漏洞（CVE-2021-25122）预警

近日，Apache官方发布安全公告，修复了Tomcat中的一个h2c请求混合漏洞，该漏洞编号：CVE-2021-25122。攻击者可利用该漏洞查看用户的请求结果。目前官方已修复该漏洞，建议受影响用户及时升级最新版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。

高危

Apache Tomcat是美国阿帕奇（Apache）基金会的一款轻量级Web应用服务器。该程序实现了对Servlet和JavaServer Page（JSP）的支持。

当响应新的h2c连接请求时，Apache Tomcat可以将请求标头和数量有限的请求主体从一个请求复制到另一个请求，这将导致用户A和用户B都可以看到用户A的请求结果。

• Apache Tomcat 10.0.0-M1至10.0.0

• Apache Tomcat 9.0.0.M1至9.0.41

• Apache Tomcat 8.5.0至8.5.61

  
  

建议受影响用户及时将Tomcat升级至10.0.2，9.0.43、8.5.63或更高版本进行漏洞修复。

下载地址：https://tomcat.apache.org/

https://lists.apache.org/thread.html/r7b95bc248603360501f18c8eb03bb6001ec0ee3296205b34b07105b7@%3Cannounce.apache.org%3E