漏洞预警|Apache Tomcat 信息泄露漏洞

棱镜七彩安全预警

近日网上有关于开源项目Apache Tomcat 信息泄露漏洞，棱镜七彩威胁情报团队第一时间探测到，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。

项目介绍

Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。由于有了Sun 的参与和支持，最新的Servlet 和JSP 规范总是能在Tomcat 中得到体现，Tomcat 5支持最新的Servlet 2.4 和JSP 2.0 规范。因为Tomcat 技术先进、性能稳定，而且免费。成为目前比较流行的Web 应用服务器。

项目主页

https://tomcat.apache.org/

代码托管地址

https://github.com/apache/tomcat

CVE编号

CVE-2023-28708

漏洞情况

Apache Tomcat 是一款开源的 Web 应用服务器，RemoteIpFilter 是一个过滤器，用于将 HTTP 请求中代理服务器的 IP 地址替换为客户端的真实 IP 地址。

受影响版本中，当使用 RemoteIpFilter 处理通过 HTTP 从反向代理接收到的请求时，如果请求头中包含设置为 https 的 X-Forwarded-Proto 字段，Tomcat 创建的会话 cookie 将不包括 secure 属性，攻击者可能通过中间人攻击获取用户 cookie，从而使用受害者身份执行恶意操作。

受影响的版本

org.apache.tomcat:tomcat-catalina@[11.0.0, 11.0.0-M3)

org.apache.tomcat:tomcat-catalina@[10.0.0, 10.1.6)

org.apache.tomcat:tomcat-catalina@[9.0.0, 9.0.72)

org.apache.tomcat:tomcat-catalina@[8.0.0, 8.5.86)

修复方案

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。各个版本链接如下：

Apache Tomcat 11系列: https://tomcat.apache.org/download-11.cgi

Apache Tomcat 10系列: https://tomcat.apache.org/download-10.cgi

Apache Tomcat 9系列: https://tomcat.apache.org/download-90.cgi

Apache Tomcat 8系列: https://tomcat.apache.org/download-80.cgi

链接地址：

NVD - CVE-2023-28708

Apache Tomcat® - Apache Tomcat 11 vulnerabilities

Fix BZ 66471 - JSessionId secure attribute missing with RemoteIpFilte… · apache/tomcat@c64d496 · GitHub

查看更多安全漏洞：快速查询安全漏洞 ｜ 柒巧板