ApacheTomcat 输入验证错误漏洞(CVE-2024-24549)
CVE编号
CVE-2024-24549
漏洞描述
Apache Tomcat是美国阿帕奇(Apache)基金会的一款轻量级Web应用服务器。该程序实现了对Servlet和JavaServer Page(JSP)的支持。 Apache Tomcat存在输入验证错误漏洞,该漏洞源于HTTP/2请求的输入验证不正确,会导致拒绝服务。
修复方案
目前,官方漏洞修复版本已经发布。建议用户升级到安全修复版本: 8.0.x 用户升级组件到 8.5.99 版; 9.0.x 用户升级组件到 9.0.86 版; 10.0.x 用户升级组件到 10.1.19 版; 11.0.x 用户升级组件到 11.0.0-M17 版 。参考链接:https://tomcat.apache.org/
扫描到服务器存在漏洞风险,建议立即对相关主机进行快照备份,避免遭受损失。
参考链接
https://lists.apache.org/thread/4c50rmomhbbsdgfjsgwlb51xdwfjdcvg
Apache Tomcat中存在一个输入验证错误(也称为CVE-2024-24549)漏洞,在处理HTTP/2请求时,如果请求超过任何标头的配置限制,则在处理完所有标头之前,关联的HTTP/2流不会重置。该漏洞可能导致拒绝服务攻击,使得合法用户无法正常使用服务。攻击者可以通过构造特制的HTTP请求来触发该漏洞,从而对服务器造成严重影响。
解决方法:
升级 org.apache.tomcat.embed 依赖版本到 9.0.86。
修改pom.xml文件:
org.apache.tomcat.embed
tomcat-embed-core
9.0.86
org.apache.tomcat.embed
tomcat-embed-el
9.0.86
org.apache.tomcat.embed
tomcat-embed-websocket
9.0.86
org.apache.tomcat
tomcat-annotations-api
9.0.86
org.springframework.boot
spring-boot-starter-tomcat
org.apache.tomcat.embed
tomcat-embed-core
org.apache.tomcat.embed
tomcat-embed-el
org.apache.tomcat.embed
tomcat-embed-websocket
org.springframework.boot
spring-boot-starter-web
org.apache.tomcat.embed
tomcat-embed-core
org.apache.tomcat.embed
tomcat-embed-el
org.apache.tomcat.embed
tomcat-embed-websocket