【安全通报】Apache Tomcat 拒绝服务漏洞（CVE-2021-42340）

近日，Apache Tomcat 发布安全更新，更新了一处拒绝服务漏洞（CVE-2021-42340）。攻击者可以通过该漏洞进行拒绝服务攻击。建议广大用户及时升级至最新版本。

漏洞描述

Apache Tomcat 是阿帕奇(Apache)基金会的一款轻量级 Web应用服务器。该程序实现了对 Servlet 和 JavaServer Page(JSP) 的支持。

CVE-2021-42340

当 Tomcat WebSocket 连接关闭时，用于收集 HTTP 升级连接指标的对象没有被释放，于是造成了内存泄漏。攻击者可通过内存泄露错误进行拒绝服务攻击。

该漏洞CVSS3评分：7.5，危害等级：高危

CVE 编号

CVE-2021-42340

FOFA 查询

app="APACHE-Tomcat"

影响范围

影响版本：

Apache Tomcat 10.0.0-M10 - 10.0.11
Apache Tomcat 10.1.0-M1 - 10.1.0-M5
Apache Tomcat 9.0.40 - 9.0.53
Apache Tomcat 8.5.60 - 8.5.71

修复版本：

Apache Tomcat 10.0.12
Apache Tomcat 10.1.0-M6
Apache Tomcat 9.0.54
Apache Tomcat 8.5.72

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="APACHE-Tomcat"）共有 4,793,207 个相关服务对外开放。中国使用数量最多，共有 1,951,654 个；美国第二，共有 806,737 个；巴西第三，共有 213,563 个；韩国第四，共有 178,846 个；德国第五，共有 142,336 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区广东使用数量最多，共有 136,752 个；北京第二，共有 117,510 个；上海第三，共有 115,412 个；浙江第四，共有 69,970 个；江苏第五，共有 56,714 个。

Vulfocus 靶场环境

目前 Vulfocus 已经集成 Apache Tomcat 环境，可通过

docker pull vulfocus/tomcat-cve_2020_11996:latest
docker pull vulfocus/tomcat-cve_2017_12615:latest

进行拉取运行，也可通过 http://vulfocus.fofa.so/ 进行测试。

修复建议

及时升级至最新安全版本：https://tomcat.apache.org/

参考

[1] https://tomcat.apache.org/security-10.html

[2] https://tomcat.apache.org/security-9.html

[3] https://tomcat.apache.org/security-8.html

白帽汇从事信息安全，专注于安全大数据、企业威胁情报。

公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。