关于Apache Tomcat信息泄露漏洞(CVE-2023-28708)的预警提示
发布时间:2023-04-03浏览次数:2207
一、漏洞详情 Apache Tomcat是一个流行的开源Web服务器和Java代码的Servlet容器。 近期监测到Apache官方发布安全公告,修复了Apache Tomcat中的一个信息泄露漏洞(CVE-2023-28708)。 当Apache Tomcat的RemoteIpFilter和HTTP反向代理一起使用时,如果请求中包含设置为https的X-Forwarded-Proto标头,则Tomcat创建的会话cookie未包括secure属性,可能导致用户代理通过不安全的通道传输会话cookie,造成敏感信息泄露。 建议受影响用户做好资产自查以及预防工作,以免遭受黑客攻击。 二、影响范围 Apache Tomcat版本:11.0.0-M1 - 11.0.0-M2 Apache Tomcat版本:10.1.0-M1 - 10.1.5 Apache Tomcat版本:9.0.0-M1 - 9.0.71 Apache Tomcat版本:8.5 .0 - 8.5.85 三、修复建议 目前该漏洞已经修复,受影响用户可升级到以下版本: Apache Tomcat版本:>= 11.0.0-M3 Apache Tomcat版本:>= 10.1.6 Apache Tomcat版本:>= 9.0.72 Apache Tomcat版本:>= 8.5.86 下载链接:https://tomcat.apache.org/ |