Apache Tomcat 今天再爆严重安全漏洞
Apache基金会成员Mark Thomas今天在邮件列表中公布了Tomcat中新发现的3个安全漏洞。
1. 拒绝服务漏洞(CVE-2012-4534)
等级:严重
受影响版本:
- Tomcat 7.0.0 ~ 7.0.27
- Tomcat 6.0.0 ~ 6.0.35
描述:
当使用NIO连接器,并启用了sendfile和HTTPS时,如果客户端断开连接,可能会陷入一个无限循环,导致拒绝服务。
解决方法:
- Tomcat 7.0.x用户升级至7.0.28或更新版本
- Tomcat 6.0.x用户升级至6.0.36或更新版本
2. 绕过安全约束(CVE-2012-3546)
等级:严重
受影响版本:
- Tomcat 7.0.0 ~ 7.0.29
- Tomcat 6.0.0 ~ 6.0.35
- 早期版本也可能受影响
描述:
当使用FORM身份验证时,如果一些组件在调用FormAuthenticator#authenticate()之前调用 request.setUserPrincipal(),则可以在FORM验证器中通过在URL尾部附加上“/j_security_check”来绕过 安全约束检查。
解决方法:
- Tomcat 7.0.x用户升级至7.0.30或更新版本
- Tomcat 6.0.x用户升级至6.0.36或更新版本
3. 绕过预防CSRF(跨站点请求伪造)过滤器(CVE-2012-4431)
等级:严重
受影响版本:
- Tomcat 7.0.0 ~ 7.0.31
- Tomcat 6.0.0 ~ 6.0.35
描述:
如果请求一个受保护的资源,而在请求中没有会话ID,则可以绕过预防CSRF过滤器。
解决方法:
- Tomcat 7.0.x用户升级至7.0.32或更新版本
- Tomcat 6.0.x用户升级至6.0.36或更新版本
相关推荐
chensen 2020-11-14
lwnylslwnyls 2020-11-06
ATenhong 2020-10-15
yanzhelee 2020-10-13
佛系程序员J 2020-10-10
guojin0 2020-10-08
佛系程序员J 2020-10-08
bluewelkin 2020-09-16
wwzaqw 2020-09-04
zhongdaowendao 2020-09-02
favouriter 2020-08-18
奎因amp华洛 2020-08-15
一青年 2020-08-13
千锋 2020-08-10
nangongyanya 2020-08-09
dongxurr 2020-08-08
明天你好 2020-08-03
kyelu 2020-08-03
Ashes 2020-08-03