【漏洞通告】Apache Tomcat拒絕服務漏洞CVE-2021-42340

2022-01-31 深信服千裡目安全實驗室

漏洞名稱 : Apache Tomcat拒絕服務漏洞

CVE-2021-42340

組件名稱 : Apache Tomcat

影響範圍 :

10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.0-M5

10.0.0-M10 ≤ Apache Tomcat ≤ 10.0.11

9.0.40 ≤ Apache Tomcat ≤ 9.0.53

8.5.60 ≤ Apache Tomcat ≤ 8.5.71

漏洞類型 : 拒絕服務

利用條件 :

1、用戶認證：未知
2、觸發方式：遠程

綜合評價 :

<綜合評定利用難度>：未知。

<綜合評定威脅等級>：高危，能造成伺服器拒絕服務。

    Tomcat是Apache 軟體基金會（Apache Software Foundation）的Jakarta 項目中的一個核心項目，由Apache、Sun 和其他一些公司及個人共同開發而成。由於有了Sun 的參與和支持，最新的Servlet 和JSP 規範總是能在Tomcat 中得到體現，Tomcat 5支持最新的Servlet 2.4 和JSP 2.0 規範。Tomcat 伺服器是一個免費的開放原始碼的Web 應用伺服器，屬於輕量級應用伺服器，在中小型系統和並發訪問用戶不是很多的場合下被普遍使用，是開發和調試JSP 程序的首選。

    2021年10月15日，深信服安全團隊監測到一則Apache Tomcat組件存在拒絕服務漏洞的信息，漏洞編號：CVE-2021-42340，漏洞威脅等級：高危。

    該漏洞是由於對用戶的輸入沒有進行嚴格的過濾導致，攻擊者可以構造惡意數據進行內存洩漏攻擊，通過OutOfMemoryError最終造成伺服器拒絕服務。

    全球有數百萬 Web伺服器採用 Apache Tomcat，可能受漏洞影響的資產廣泛分布於世界各地，國內省份中受影響資產分布於浙江、廣東、山東等省市。

    目前受影響的Apache Tomcat版本：

10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.0-M5

10.0.0-M10 ≤ Apache Tomcat ≤ 10.0.11

9.0.40 ≤ Apache Tomcat ≤ 9.0.53

8.5.60 ≤ Apache Tomcat ≤ 8.5.71

    Windows系統：在tomcat的bin目錄下，輸入catalina version命令即可顯示版本信息

    Linux系統： 在bin目錄下執行如下命令：sh version.sh 可顯示版本信息

    當前官方已發布最新版本，建議受影響的用戶及時更新升級到最新版本。連結如下：

https://tomcat.apache.org/security-10.html

https://tomcat.apache.org/security-9.html

https://tomcat.apache.org/security-8.html

2021/10/15   深信服監測到Apache Tomcat官方發布拒絕服務漏洞信息。

2021/10/16    深信服千裡目安全實驗室發布漏洞通告。

https://www.mail-archive.com/announce@apache.org/msg06812.html

點擊閱讀原文，及時關注並登錄深信服智安全平臺，可輕鬆查詢漏洞相關解決方案。

深信服科技旗下安全實驗室，致力於網絡安全攻防技術的研究和積累，深度洞察未知網絡安全威脅，解讀前沿安全技術。

● 掃碼關注我們

相關焦點

  • SUMAP網絡空間測繪|2021年CVE漏洞趨勢安全分析報告
    提供沒有「 =」分配的初始密鑰可能反映先前請求使用的未初始化池內存的陳舊值，從而導致潛在機密信息的洩漏，以及在其他情況下的段錯誤（segfault），從而導致拒絕服務。，可發現主要漏洞安全風險影響集中在web中間件apache上。
  • 【通告更新】Apache Tomcat伺服器文件包含漏洞安全風險通告第三次更新
    Tomcat伺服器是一個免費的開放原始碼的Web應用伺服器，被普遍使用在輕量級Web應用服務的構架中。奇安信CERT已第一時間復現此漏洞，復現效果如下：奇安信 CERT風險評級為：高危風險等級：藍色（一般事件）Apache Tomcat使用org.apache.coyote.ajp.AjpProcessor處理AJP協議請求，其中prepareRequest方法將我們封裝好的request屬性取出來並設置到Tomcat當前上下文中
  • 【漏洞通告】Apache Druid LoadData文件讀取漏洞 CVE-2021-36749
    近日，深信服安全團隊監測到一則Apache Druid組件存在文件讀取漏洞的信息，漏洞編號：CVE-2021-36749，漏洞威脅等級：中危。該漏洞是由於用戶指定 HTTP InputSource 沒有做出限制，可以通過將文件 URL 傳遞給 HTTP InputSource 來繞過應用程式級別的限制。
  • Python遠程代碼執行漏洞(CVE-2021-3177)
    2021-3177時   間2021-02-24類   型RCE等   級嚴重遠程利用是影響範圍Python 3.x- 3.9.1 0x01 漏洞詳情Python是當前最受歡迎的程序設計語言之一2021年02月19日，Python官方發布安全公告，公開了python中的一個RCE漏洞（CVE-2021-3177），其CVSSv3評分為9.8。　Python ctypes模塊是Python內建的用於調用動態連結庫函數的功能模塊。
  • Apache Tomcat文件包含漏洞風險大,威脅全球約8萬臺伺服器
    CNVD（國家信息安全漏洞共享平臺）公告知名Web應用伺服器Apache Tomcat被爆存在文件包含漏洞，攻擊者可構造惡意的請求包進行文件包含操作
  • Apache Tomcat 7.x安全加固指南
    有關補丁的可用性和嚴重性的信息，請參見http://tomcat.apache.org/lists.html#tomcat-announce。 更新可能會影響功能。關於核心/業務方面的Tomcat的更新可能帶來的副作用，請查看http://tomcat.apache.org/lists.html#tomcat-announce。
  • 雲安全日報201130:Ubuntu圖形庫igraph發現拒絕服務漏洞,需要儘快...
    11月27日，Ubuntu圖形庫igraph發現拒絕服務重要漏洞,需要儘快升級。以下是漏洞詳情：漏洞詳情來源：https://ubuntu.com/security/notices/USN-4644-1CVE-2018-20349 CVSS評分： 6.5 中igraph(用於創建和處理圖形的庫
  • 雲安全日報200819:Apache發現重要漏洞,可竊取信息,控制系統,需要...
    漏洞詳情來源：https://lists.apache.org/thread.html/rf54e7912b7d2b72c63ec54a7afa4adcbf16268dcc63253767dd67d60%40%3Cgeneral.lucene.apache.org%3E信息洩露漏洞（CVE-2020-13941）攻擊者可藉助特製的
  • Structs全版本漏洞利用總結
    去iBearcat的gayhub下載漏洞war包war包直鏈:https://raw.githubusercontent.com/iBearcat/S2-055/master/struts2-rest-showcase.war為了方便將其改名為st2-055.war，放到tomcat的webapps下，它會自動解壓
  • Apache Tomcat 安裝與配置教程
    （1）配置JAVA_HOME新建變量名為JAVA_HOME，變量值為C:\Program Files\Java\jdk1.8.0_251的環境變量。變量值就是jdk的安裝路徑。（2）配置CLASSPATH新建變量名為CLASSPATH，變量值為.;%JAVA_HOME%\lib;%JAVA_HOME%\lib\tools.jar的環境變量。ps：【變量值分號前有個.】
  • log4Shell核彈級漏洞復現&Ladon批量檢測
    https://access.redhat.com/security/cve/cve-2021-4Jenkins Although Jenkins Core is not affected by default, plug-ins installed in Jenkins can use the vulnerable version of Log4J.
  • CVE-2019-0230:Apache Struts OGNL遠程代碼執行漏洞詳解
    對於錨標籤來說，對應的方法被定義為org.apache.struts2.views.jsp.ui.AnchorTag類中的populateParams()方法。實際上，id屬性的第一次計算發生在populateParams()的基類實現中，即調用在org.apache.struts2.component.UIBean類中定義的setId()。
  • Apache Guacamole安全漏洞影響數千萬用戶
    第一個漏洞（CPR-ID-2141）可以讓攻擊者偽造惡意rdpsnd消息，引發與Heartbleed 類似的越界寫漏洞；第二個漏洞（CPR-ID-2142）位於相同的信道中，屬於數據洩露漏洞，可以越界傳輸數據到互聯的客戶端。 第三個信息洩露漏洞是第二個漏洞的有個變種，位於另外一個信道——guacai信道中，guacai負責音頻輸入，默認是禁用的。
  • Ubuntu 系統內核發現拒絕服務或執行任意代碼漏洞,需儘快升級
    12 月 2 日，Ubuntu 發布了安全更新 , 修復了系統內核拒絕服務、執行任意代碼等重要漏洞。本地攻擊者可利用此漏洞造成拒絕服務（系統崩潰）或可能執行任意代碼。2.CVE-2020-25645 CVSS 評分：7.5 高Linux 內核中的 GENEVE 隧道實現與 IPSec 結合時，在某些情況下沒有正確選擇 IP 路由。攻擊者可以利用此漏洞暴露敏感信息（未加密的網絡流量）。
  • CVE-2017-7187漏洞分析
    接著 review 一下代碼：因此觸發這個漏洞，有2個步驟：1、通過ioctl()函數，使用SG_NEXT_CMD_LEN命令，並傳遞一個 arg，值大於252 ；2、再調用 writev()/write()函數，傳遞數據，數據大小，大於252。
  • Windows VBScript引擎遠程執行代碼漏洞 CVE-2018-8174分析與利用
    VBScript引擎處理內存中對象的方式中存在一個遠程執行代碼漏洞。該漏洞可能以一種攻擊者可以在當前用戶的上下文中執行任意代碼的方式來破壞內存。成功利用此漏洞的攻擊者可以獲得與當前用戶相同的用戶權限。如果當前用戶使用管理用戶權限登錄，則成功利用此漏洞的攻擊者可以控制受影響的系統。然後攻擊者可以安裝程序; 查看，更改或刪除數據; 或創建具有完全用戶權限的新帳戶。
  • Apache HBase 出現信息洩漏漏洞 - OSCHINA - 中文開源技術交流社區
    HBase 因為遠程拒絕服務、發現信息洩露漏洞和信息完整性出現問題。hbase:cdrwa    setAcl /hbase/table sasl:hbase:cdrwa    setAcl /hbase/table-lock sasl:hbase:cdrwa    setAcl /hbase/tokenauth sasl:hbase:cdrwa參考：1: http://hbase.apache.org
  • Golang TLS雙向身份認證DoS漏洞分析(CVE-2018-16875)
    /post/id/168383一、前言如果程序原始碼使用Go語言編寫，並且用到了單向或者雙向TLS認證，那麼就容易受到CPU拒絕服務（DoS）攻擊。因此42Crunch很有可能受此TLS漏洞影響，需要理解漏洞原理，保證42Crunch平臺的安全性。42Crunch安全團隊針細緻分析了該CVE，如下文所示。
  • 在Linux上安裝Apache Tomcat完整指南
    -8/v8.5.23/bin/apache-tomcat-8.5.23.tar.gz一旦文件完成下載，解壓縮/opt目錄中的包（我們也可以使用一些其他的目錄/數據等）。在終端中運行以下命令來提取文件，$ tar -xvzf pache-tomcat-8.5.23.tar.gz -C /opt$ mv /opt/apache-tomcat-8.5.23/ /opt/tomcat現在Apache Tomcat已準備就緒，但是在我們這樣做之前，我們需要分配證書來訪問tomcat的'Manager'和'GUI'頁面，默認情況下沒有設置用戶名和密碼
  • 微軟修復Win10中NTFS格式磁碟拒絕服務致系統崩潰的漏洞
    文 | 白開水出品 | OSC開源社區（ID：oschina2013）Windows 10 曾在今年 1 月份被曝出存在一個漏洞，可以被用來破壞 NTFS 格式化驅動器的內容，導致系統崩潰。即，只需要一個特別製作的文件夾名稱，就可以導致卷被標記為 dirty 狀態；受到影響的用戶需要使用 Chkdsk 實用程序才能進行修復。