【漏洞通告】Apache Tomcat拒绝服务漏洞 (CVE-2021-42340)

发布时间 2021-10-15

0x00 漏洞概述

CVE     ID

CVE-2021-42340

时      间

2021-10-14

类      型

Dos

等      级

高危

远程利用

影响范围


攻击复杂度


可用性


用户交互


所需权限


PoC/EXP


在野利用

 

0x01 漏洞详情

image.png

Tomcat是由ApacheApp基金会下属的Jakarta项目开发的一个Servlet容器,实现了对Servlet和JavaServer Page("text-indent:28px;line-height:150%">2021年10月14日,Apache发布安全公告,公开了Apache Tomcat中的一个拒绝服务漏洞(CVE-2021-42340)。

由于63362 bug的修复导致了内存泄漏问题,为收集HTTP升级连接的指标而引入的对象在连接关闭后没有为WebSocket连接释放。随着时间的推移,可能会通过 OutOfMemoryError 导致拒绝服务。

 

影响范围

Apache Tomcat 10.1.0-M1 - 10.1.0-M5

Apache Tomcat 10.0.0-M10 - 10.0.11

Apache Tomcat 9.0.40 - 9.0.53

Apache Tomcat 8.5.60 - 8.5.71

 

0x02 处置建议

目前此漏洞已经修复,建议受影响的用户及时升级更新到以下版本:

Apache Tomcat 10.1.0-M6 或更高版本

Apache Tomcat 10.0.12 或更高版本

Apache Tomcat 9.0.54 或更高版本

Apache Tomcat 8.5.72 或更高版本

下载链接:

https://tomcat.apache.org/download-10.cgi

 

0x03 参考链接

https://tomcat.apache.org/security-10.html

http://mail-archives.apache.org/mod_mbox/www-announce/202110.mbox/%3C9b8b83e3-7fec-a26d-7780-e5d4a85f7df6@apache.org%3E

https://github.com/apache/tomcat/commit/31d62426645824bdfe076a0c0eafa904d90b4fb9

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42340

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-10-15

首次发布

 

0x05 文档附录

CNVD:www.cnvd.org.cn

CNNVD:www.cnnvd.org.cn

CVE:cve.mitre.org

CVSS:www.first.org

NVD:nvd.nist.gov

 

0x06 关于大家

关注以下公众号,获取更多资讯:

image.png