久久综合人妻AV四区|国产乱伦手机av片免费|作爱视频在线观看免费|黄色免费三级片高清|国产黄色在线播放|久久精品丝袜噜噜丝袜|国模激情128p|欧美黄片免费视频|草碰日产人人一级爱|日韩欧美亚洲综合在线观看

近日，金山云安全應急響應中心監(jiān)測到，CVE-2020-13935(Apache Tomcat 拒絕服務漏洞)該漏洞的利用代碼（EXP）已在互聯(lián)網(wǎng)上公開，未授權的遠程攻擊者通過發(fā)送大量特制請求包到Tomcat服務器,可造成服務器停止響應并無法提供正常服務。

該漏洞能直接對使用 WebSocket 的Tomcat服務器造成影響，請相關用戶盡快將Tomcat升級到最新版本，做好資產(chǎn)自查工作，避免遭受不必要的損失。

漏洞描述

Tomcat是由Apache軟件基金會下屬的Jakarta項目開發(fā)的一個Servlet容器，按照Sun Microsystems提供的技術規(guī)范，實現(xiàn)了對Servlet和JavaServer Page（JSP）的支持，并提供了作為Web服務器的一些特有功能。

Apache Tomcat WebSocket幀中的有效負載長度未正確驗證，無效的有效載荷長度可能會觸發(fā)無限循環(huán)，多有效負載長度無效的請求可能會導致拒絕服務。

風險等級

高危

影響版本

Apache Tomcat 9.0.0.M1 - 9.0.36

Apache Tomcat 10.0.0-M1 - 10.0.0-M6

Apache Tomcat 8.5.0 - 8.5.56

Apache Tomcat 7.0.27 - 7.0.104

修復建議

1. 升級至安全版本

· 升級到Apache Tomcat 10.0.0-M7+

· 升級到Apache Tomcat 9.0.37+

· 升級到Apache Tomcat 8.5.57+

2. 臨時修復建議

· 針對非必要服務停用 WebSocket

參考鏈接

[1] https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.37

[2] https://blog.redteam-pentesting.de/2020/websocket-vulnerability-tomcat/

[3] https://github.com/RedTeamPentesting/CVE-2020-13935

北京金山云網(wǎng)絡技術有限公司

2020/11/06