相识234钱包最新布告
2020-11-06 00:00:00
近日，，234钱包安全应急响应中心监测到，，CVE-2020-13935(Apache Tomcat 回绝服务缝隙)该缝隙的利用代码（EXP）已在互联网上公开，，未授权的远程攻击者通过发送大量特制要求包到Tomcat服务器,可造成服务器终场响应并无法提供正常服务。。
该缝隙能直接对使用 WebSocket 的Tomcat服务器造成影响，，请有关用户尽快将Tomcat升级到最新版本，，做好资产自查工作，，预防遭逢不用要的损失。。
缝隙描述
Tomcat是由Apache软件基金会下属的Jakarta项目开发的一个Servlet容器，，依照Sun Microsystems提供的技术规范，，实现了对Servlet和JavaServer Page（JSP）的支持，，并提供了作为Web服务器的一些特有职能。。
Apache Tomcat WebSocket帧中的有效负载长度未正确验证，，无效的有效载荷长度可能会触发无限循环，，多有效负载长度无效的要求可能会导致回绝服务。。
风险等级
高危
影响版本
Apache Tomcat 9.0.0.M1 - 9.0.36
Apache Tomcat 10.0.0-M1 - 10.0.0-M6
Apache Tomcat 8.5.0 - 8.5.56
Apache Tomcat 7.0.27 - 7.0.104
修复建议
1. 升级至安全版本
· 升级到Apache Tomcat 10.0.0-M7+
· 升级到Apache Tomcat 9.0.37+
· 升级到Apache Tomcat 8.5.57+
2. 一时修复建议
· 针对非必要服务停用 WebSocket
参考链接
[1] https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.37
[2] https://blog.redteam-pentesting.de/2020/websocket-vulnerability-tomcat/
[3] https://github.com/RedTeamPentesting/CVE-2020-13935
北京234钱包网络技术有限公司
2020/11/06