Tomcat 又爆出高危漏洞！！Tomcat 8.5 ～10 中招…

開源界最近很熱鬧啊，各個主流軟件或框架漏洞頻發，比如像 Struts2、FastJSON、Dubbo、Redis、Tomcat 等都存在各種各樣的漏洞。

不要使用含有漏洞的組件每次也都被評爲 OWASP 10 大安全漏洞之一。

光這半年以來，棧長知道的，通過公衆號Java技術棧發佈的就有 Dubbo、FastJSON、Tomcat：

2020年06月23日：

最新！Dubbo 遠程代碼執行漏洞通告，速度升級：
https://mp.weixin.qq.com/s/t9GgYangGAeFTwtQA_dVfA

2020年05月28日：

Fastjson 又出高危漏洞，可遠程執行代碼：
https://mp.weixin.qq.com/s/ybyHWA7JN-YyR7WUoCqEUQ

2020年02月20日：

Tomcat AJP 協議漏洞：
https://mp.weixin.qq.com/s/SWKbpOHCyK7ZPc6AokaHGw

前段時間這個 Tomcat AJP 協議漏洞大躁，2020/06/25 這天 Tomcat 又爆出 HTTP/2 拒絕服務漏洞：

http://mail-archives.apache.org/mod_mbox/www-announce/202006.mbox/%[email protected]%3e

這是一封來自 Apache 官方安全團隊的郵件，已通過 Apache Tomcat 用戶郵件公開報告了此問題，郵件中介紹了 HTTP/2 拒絕服務漏洞的各方面細節及解決方案。

漏洞名稱： Apache Tomcat HTTP/2 拒絕服務漏洞

漏洞編號： CVE-2020-11996

嚴重程度: 重要

軟件提供商: Apache 軟件基金會

受影響的版本：

• Apache Tomcat 10.0.0-M1 ~ 10.0.0-M5
• Apache Tomcat 9.0.0.M1 ~ 9.0.35
• Apache Tomcat 8.5.0 ~ 8.5.55

漏洞描述：

一個特別製作的 HTTP/2 請求序列，在短短數秒內能導致 CPU 滿負載率，如果有足夠數量多的此類請求連接（HTTP/2）併發打在服務器上，服務器可能會失去響應。

解決方案：

• 升級到 Apache Tomcat 10.0.0-M6＋
• 升級到 Apache Tomcat 9.0.36＋
• 升級到 Apache Tomcat 8.5.56＋

升級到對應的版本即可，另外，從官方揭示的信息來看，Tomcat 8.5 以下版本不受影響，是因爲 Tomcat 8.5＋纔開始有了對 HTTP/2 的支持吧。

相關閱讀：

• HTTP/2 與 HTTP/1 有什麼區別？
• HTTP/2 最新漏洞，直指 Kubernetes！

參考：

[1] http://tomcat.apache.org/security-10.html
[2] http://tomcat.apache.org/security-9.html
[3] http://tomcat.apache.org/security-8.html

HTTP/2 拒絕服務漏洞還算好，因爲 Tomcat 中默認使用 HTTP/1.1 協議，如果你們沒有用 HTTP/2 那就沒問題，如果開啓了就要注意升級了。

關注公衆號Java技術棧，棧長將繼續關注並分享此類最新漏洞，你們關注的也是我關心的。

關注公衆號Java技術棧回覆"面試"獲取我整理的2020最全面試題及答案。

推薦去我的博客閱讀更多：

1.Java JVM、集合、多線程、新特性系列教程

2.Spring MVC、Spring Boot、Spring Cloud 系列教程

3.Maven、Git、Eclipse、Intellij IDEA 系列工具教程

4.Java、後端、架構、阿里巴巴等大廠最新面試題

覺得不錯，別忘了點贊+轉發哦！