首页 ›资讯› 安全 › 查看内容

Tomcat爆出安全漏洞！Spring Cloud/Boot框架多个版本受影响

2020-7-10 00:18 |来自: 互联网 2934 0

摘要: 01 事件背景6月25日， Apache 官方安全团队通过邮件公开报告了一个高危漏洞，邮件中介绍了 HTTP/2 拒绝服务漏洞的细节及解决方案。如下图所示：漏洞详情链接：http://mail-archives.apache.org/mod_mbox/www-announce/202006.mbox/%[email protected]%3E翻译漏洞名称 ...

关键词： Tomcat embed Spring Apache Boot 版本 RELEASE 升级 version 影响

01 事件背景

6月25日， Apache 官方安全团队通过邮件公开报告了一个高危漏洞，邮件中介绍了 HTTP/2 拒绝服务漏洞的细节及解决方案。如下图所示：

漏洞详情链接：
http://mail-archives.apache.org/mod_mbox/www-announce/202006.mbox/%[email protected]%3E

翻译

漏洞名称：Apache Tomcat HTTP/2 拒绝服务漏洞
漏洞编号：CVE-2020-11996
严重程度: 重要
软件提供商: Apache 软件基金会
受影响的版本：

Apache Tomcat 10.0.0-M1 ~ 10.0.0-M5

Apache Tomcat 9.0.0.M1 ~ 9.0.35

Apache Tomcat 8.5.0 ~ 8.5.55

漏洞描述：一个特别制作的 HTTP/2 请求序列，在短短数秒内能导致 CPU 满负载率，如果有足够数量多的此类请求连接（HTTP/2）并发放在服务器上，服务器可能会失去响应。

如果条件允许，可以通过升级到Tomcat新版本来解决漏洞。下面为受影响版本对应的安全版本：

Apache Tomcat 10.0.0-M6+
Apache Tomcat 9.0.36+
Apache Tomcat 8.5.56+

02 Spring Cloud / Boot 框架影响

Apache Tomcat HTTP/2 拒绝服务漏洞也给Spring Cloud / Boot 框架带来了一定的影响。下面是所有受影响的版本列表，大家可以查看并对照下自己的代码，看看是否受到影响。

Spring Cloud Edgware / Spring Boot 1.5.x

Spring Cloud [Edgware.RELEASE - Edgware.SR6] 版本受到影响。

Spring Boot [1.5.0.RELEASE - 1.5.22.RELEASE] 版本受到影响。

Spring Cloud Finchley / Spring Boot 2.0.x

Spring Cloud [Finchley.RELEASE - Finchley.SR4] 版本受到影响。

Spring Boot [2.0.0.RELEASE - 2.0.9.RELEASE] 版本受到影响。

Spring Cloud Greenwich / Spring Boot 2.1.x

Spring Cloud [Greenwich.RELEASE - Greenwich.SR6] 版本受到影响。

Spring Boot [2.1.0.RELEASE - 2.1.14.RELEASE] 版本受到影响。

Spring Boot [2.1.15.RELEASE] 版本已修复。

Spring Cloud Hoxton / Spring Boot 2.2.x

Spring Cloud [Hoxton.RELEASE - Hoxton.SR6] 版本受到影响。

Spring Boot [2.2.0.RELEASE - 2.2.7.RELEASE] 版本受到影响。

Spring Boot [2.2.8.RELEASE] 版本已修复。

Spring Boot 2.3.x

Spring Boot [2.3.0.RELEASE] 版本受到影响。

Spring Boot [2.3.1.RELEASE] 版本已修复。

03 升级方案

为了避免上述漏洞，现有两种升级方案：

直接升级Spring Boot版本。
手动升级Tomcat版本。

升级 Spring Cloud Edgware / Spring Boot 1.5.x

Edgware无法通过升级Spring Boot版本解决问题。


    8.5.56



    
        
            org.apache.tomcat.embed
            tomcat-embed-core
            ${tomcat-embed.version}
        
        
            org.apache.tomcat.embed
            tomcat-embed-el
            ${tomcat-embed.version}
        
        
            org.apache.tomcat.embed
            tomcat-embed-websocket
            ${tomcat-embed.version}
        
        
            org.apache.tomcat
            tomcat-annotations-api
            ${tomcat-embed.version}

升级Spring Cloud Finchley / Spring Boot 2.0.x

Finchley无法通过升级Spring Boot版本解决问题。


    8.5.56



    
        
            org.apache.tomcat.embed
            tomcat-embed-core
            ${tomcat-embed.version}
        
        
            org.apache.tomcat.embed
            tomcat-embed-el
            ${tomcat-embed.version}
        
        
            org.apache.tomcat.embed
            tomcat-embed-websocket
            ${tomcat-embed.version}

升级Spring Cloud Greenwich / Spring Boot 2.1.x

1. 升级Spring Boot


    org.springframework.boot
    spring-boot-starter-parent
    2.1.15.RELEASE

2. 升级Tomcat


    9.0.36



    
        
            org.apache.tomcat.embed
            tomcat-embed-core
            ${tomcat-embed.version}
        
        
            org.apache.tomcat.embed
            tomcat-embed-el
            ${tomcat-embed.version}
        
        
            org.apache.tomcat.embed
            tomcat-embed-websocket
            ${tomcat-embed.version}

升级Spring Cloud Hoxton / Spring Boot 2.2.x

1. 升级Spring Boot


    org.springframework.boot
    spring-boot-starter-parent
    2.2.8.RELEASE

2. 升级Tomcat


    9.0.36



    
        
            org.apache.tomcat.embed
            tomcat-embed-core
            ${tomcat-embed.version}
        
        
            org.apache.tomcat.embed
            tomcat-embed-el
            ${tomcat-embed.version}
        
        
            org.apache.tomcat.embed
            tomcat-embed-websocket
            ${tomcat-embed.version}

升级Spring Boot 2.3.x

1. 升级Spring Boot


    org.springframework.boot
    spring-boot-starter-parent
    2.3.1.RELEASE

2. 升级Tomcat


    9.0.36



    
        
            org.apache.tomcat.embed
            tomcat-embed-core
            ${tomcat-embed.version}
        
        
            org.apache.tomcat.embed
            tomcat-embed-websocket
            ${tomcat-embed.version}