91百色国产视频|亚洲欧美伦理中文字幕在线|亚洲中文乱码在线|天堂影音av在线|国产激情人妻熟女|AV无码高清在线|超碰在线免费观看操|亚洲va中文字幕|欧美极品性爱四区|国产精品二区在线观看

近日，金山云安全應(yīng)急響應(yīng)中心監(jiān)測到，CVE-2020-13935(Apache Tomcat 拒絕服務(wù)漏洞)該漏洞的利用代碼（EXP）已在互聯(lián)網(wǎng)上公開，未授權(quán)的遠程攻擊者通過發(fā)送大量特制請求包到Tomcat服務(wù)器,可造成服務(wù)器停止響應(yīng)并無法提供正常服務(wù)。

該漏洞能直接對使用 WebSocket 的Tomcat服務(wù)器造成影響，請相關(guān)用戶盡快將Tomcat升級到最新版本，做好資產(chǎn)自查工作，避免遭受不必要的損失。

漏洞描述

Tomcat是由Apache軟件基金會下屬的Jakarta項目開發(fā)的一個Servlet容器，按照Sun Microsystems提供的技術(shù)規(guī)范，實現(xiàn)了對Servlet和JavaServer Page（JSP）的支持，并提供了作為Web服務(wù)器的一些特有功能。

Apache Tomcat WebSocket幀中的有效負載長度未正確驗證，無效的有效載荷長度可能會觸發(fā)無限循環(huán)，多有效負載長度無效的請求可能會導(dǎo)致拒絕服務(wù)。

風(fēng)險等級

高危

影響版本

Apache Tomcat 9.0.0.M1 - 9.0.36

Apache Tomcat 10.0.0-M1 - 10.0.0-M6

Apache Tomcat 8.5.0 - 8.5.56

Apache Tomcat 7.0.27 - 7.0.104

修復(fù)建議

1. 升級至安全版本

· 升級到Apache Tomcat 10.0.0-M7+

· 升級到Apache Tomcat 9.0.37+

· 升級到Apache Tomcat 8.5.57+

2. 臨時修復(fù)建議

· 針對非必要服務(wù)停用 WebSocket

參考鏈接

[1] https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.37

[2] https://blog.redteam-pentesting.de/2020/websocket-vulnerability-tomcat/

[3] https://github.com/RedTeamPentesting/CVE-2020-13935

北京金山云網(wǎng)絡(luò)技術(shù)有限公司

2020/11/06