Tomcat是Apache軟體基金會Jakarta 項目開發的一個Servlet容器，實現了對Servlet和JavaServer Page（JSP）的支持。由於Tomcat本身也內含了一個HTTP伺服器，它也可以被視作一個單獨的Web伺服器。Tomcat作為免費的開放原始碼的Web應用伺服器，被普遍使用在輕量級Web應用服務的構架中。
近日，新華三攻防實驗室威脅預警團隊監測到Apache官方發布了Apache Tomcat拒絕服務漏洞(CVE-2021-42340)的風險通告，鑑於漏洞危害較大，建議客戶排查並升級到安全版本。
該漏洞是由於對歷史bug 63362的修復引入了內存洩漏，當Tomcat WebSocket連接關閉時，用於收集 HTTP升級連接指標的對象沒有被釋放，造成了內存洩漏。隨著時間的推移，可能會通過 OutOfMemoryError導致拒絕服務。惡意攻擊者可能會利用此漏洞實施拒絕服務攻擊。
10.1.0-M1 <= Apache Tomcat <= 10.1.0-M5
10.0.0-M10 <= Apache Tomcat <= 10.0.11
9.0.40 <= Apache Tomcat <= 9.0.53
8.5.60 <= Apache Tomcat <= 8.5.71
漏洞等級：高危
目前，Apache官方已發布版本更新對此漏洞進行修復，建議用戶儘快升級到以下安全版本。官方下載連結：
https://tomcat.apache.org/
安全版本：
Apache Tomcat >= 10.1.0-M6
Apache Tomcat >= 10.0.12
Apache Tomcat >= 9.0.54
Apache Tomcat >= 8.5.72
https://tomcat.apache.org/security-10.html
https://bz.apache.org/bugzilla/show_bug.cgi?id=63362