Tomcat爆出安全漏洞!Spring Cloud/Boot框架多个版本受影响

01 事件背景

6月25日, Apache 官方安全团队通过邮件公开报告了一个高危漏洞,邮件中介绍了 HTTP/2 拒绝服务漏洞的细节及解决方案。如下图所示:

漏洞详情链接:

  • http://mail-archives.apache.org/mod_mbox/www-announce/202006.mbox/%3Cfd56bc1d-1219-605b-99c7-946bf7bd8ad4@apache.org%3E


Tomcat爆出安全漏洞!Spring Cloud/Boot框架多个版本受影响

翻译

  • 漏洞名称:Apache Tomcat HTTP/2 拒绝服务漏洞
  • 漏洞编号:CVE-2020-11996
  • 严重程度: 重要
  • 软件提供商: Apache 软件基金

受影响的版本:

  • Apache Tomcat 10.0.0-M1 ~ 10.0.0-M5
  • Apache Tomcat 9.0.0.M1 ~ 9.0.35
  • Apache Tomcat 8.5.0 ~ 8.5.55

漏洞描述:一个特别制作的 HTTP/2 请求序列,在短短数秒内能导致 CPU 满负载率,如果有足够数量多的此类请求连接(HTTP/2)并发放在服务器上,服务器可能会失去响应。

如果条件允许,可以通过升级到Tomcat新版本来解决漏洞。下面为受影响版本对应的安全版本:

  • Apache Tomcat 10.0.0-M6+
  • Apache Tomcat 9.0.36+
  • Apache Tomcat 8.5.56+

02 Spring Cloud / Boot 框架影响

Apache Tomcat HTTP/2 拒绝服务漏洞也给Spring Cloud / Boot 框架带来了一定的影响。下面是所有受影响的版本列表,大家可以查看并对照下自己的代码,看看是否受到影响。

Spring Cloud Edgware / Spring Boot 1.5.x

  • Spring Cloud [Edgware.RELEASE – Edgware.SR6] 版本受到影响。
  • Spring Boot [1.5.0.RELEASE – 1.5.22.RELEASE] 版本受到影响。

Spring Cloud Finchley / Spring Boot 2.0.x

  • Spring Cloud [Finchley.RELEASE – Finchley.SR4] 版本受到影响。
  • Spring Boot [2.0.0.RELEASE – 2.0.9.RELEASE] 版本受到影响。

Spring Cloud Greenwich / Spring Boot 2.1.x

  • Spring Cloud [Greenwich.RELEASE – Greenwich.SR6] 版本受到影响。
  • Spring Boot [2.1.0.RELEASE – 2.1.14.RELEASE] 版本受到影响。
  • Spring Boot [2.1.15.RELEASE] 版本已修复。

Spring Cloud Hoxton / Spring Boot 2.2.x

  • Spring Cloud [Hoxton.RELEASE – Hoxton.SR6] 版本受到影响。
  • Spring Boot [2.2.0.RELEASE – 2.2.7.RELEASE] 版本受到影响。
  • Spring Boot [2.2.8.RELEASE] 版本已修复。

Spring Boot 2.3.x

  • Spring Boot [2.3.0.RELEASE] 版本受到影响。
  • Spring Boot [2.3.1.RELEASE] 版本已修复。

03 升级方案

为了避免上述漏洞,现有两种升级方案:

直接升级Spring Boot版本。

手动升级Tomcat版本。

升级 Spring Cloud Edgware / Spring Boot 1.5.x

Edgware无法通过升级Spring Boot版本解决问题。=

<properties> 
    <tomcat-embed.version>8.5.56</tomcat-embed.version> 
</properties> 
 
<dependencyManagement> 
    <dependencies> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-core</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-el</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-websocket</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
        <dependency> 
            <groupId>org.apache.tomcat</groupId> 
            <artifactId>tomcat-annotations-api</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
    </dependencies> 
</dependencyManagement> 

升级Spring Cloud Finchley / Spring Boot 2.0.x

Finchley无法通过升级Spring Boot版本解决问题。

<properties> 
    <tomcat-embed.version>8.5.56</tomcat-embed.version> 
</properties> 
 
<dependencyManagement> 
    <dependencies> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-core</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-el</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-websocket</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
    </dependencies> 
</dependencyManagement> 

升级Spring Cloud Greenwich / Spring Boot 2.1.x

1. 升级Spring Boot

<parent> 
    <groupId>org.springframework.boot</groupId> 
    <artifactId>spring-boot-starter-parent</artifactId> 
    <version>2.1.15.RELEASE</version> 
</parent> 

2. 升级Tomcat

<properties> 
    <tomcat-embed.version>9.0.36</tomcat-embed.version> 
</properties> 
 
<dependencyManagement> 
    <dependencies> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-core</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-el</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-websocket</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
    </dependencies> 
</dependencyManagement> 

升级Spring Cloud Hoxton / Spring Boot 2.2.x

1. 升级Spring Boot

<parent> 
    <groupId>org.springframework.boot</groupId> 
    <artifactId>spring-boot-starter-parent</artifactId> 
    <version>2.2.8.RELEASE</version> 
</parent> 

2. 升级Tomcat

<properties> 
    <tomcat-embed.version>9.0.36</tomcat-embed.version> 
</properties> 
 
<dependencyManagement> 
    <dependencies> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-core</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-el</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-websocket</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
    </dependencies> 
</dependencyManagement> 

升级Spring Boot 2.3.x

1. 升级Spring Boot

<parent> 
    <groupId>org.springframework.boot</groupId> 
    <artifactId>spring-boot-starter-parent</artifactId> 
    <version>2.3.1.RELEASE</version> 
</parent> 

2. 升级Tomcat

<properties> 
    <tomcat-embed.version>9.0.36</tomcat-embed.version> 
</properties> 
 
<dependencyManagement> 
    <dependencies> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-core</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency> 
        <dependency> 
            <groupId>org.apache.tomcat.embed</groupId> 
            <artifactId>tomcat-embed-websocket</artifactId> 
            <version>${tomcat-embed.version}</version> 
        </dependency>    </dependencies></dependencyManagement> 

原文 

http://netsecurity.51cto.com/art/202007/620654.htm

本站部分文章源于互联网,本着传播知识、有益学习和研究的目的进行的转载,为网友免费提供。如有著作权人或出版方提出异议,本站将立即删除。如果您对文章转载有任何疑问请告之我们,以便我们及时纠正。

PS:推荐一个微信公众号: askHarries 或者qq群:474807195,里面会分享一些资深架构师录制的视频录像:有Spring,MyBatis,Netty源码分析,高并发、高性能、分布式、微服务架构的原理,JVM性能优化这些成为架构师必备的知识体系。还能领取免费的学习资源,目前受益良多

转载请注明原文出处:Harries Blog™ » Tomcat爆出安全漏洞!Spring Cloud/Boot框架多个版本受影响

赞 (0)
分享到:更多 ()

评论 0

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址