SpringBoot解决Apache Tomcat输入验证错误漏洞

ApacheTomcat 输入验证错误漏洞(CVE-2024-24549)
  CVE编号
  CVE-2024-24549
  漏洞形貌
  Apache Tomcat是美国阿帕奇（Apache）基金会的一款轻量级Web应用服务器。该步调实现了对Servlet和JavaServer Page（JSP）的支持。 Apache Tomcat存在输入验证错误漏洞，该漏洞源于HTTP/2哀求的输入验证不正确，会导致拒绝服务。
修复方案
现在，官方漏洞修复版本已经发布。建议用户升级到安全修复版本： 8.0.x 用户升级组件到 8.5.99 版； 9.0.x 用户升级组件到 9.0.86 版； 10.0.x 用户升级组件到 10.1.19 版； 11.0.x 用户升级组件到 11.0.0-M17 版 。参考链接：https://tomcat.apache.org/
扫描到服务器存在漏洞风险，建议立即对相关主机进行快照备份，克制遭受损失。
参考链接
https://lists.apache.org/thread/4c50rmomhbbsdgfjsgwlb51xdwfjdcvg
  Apache Tomcat中存在一个输入验证错误（也称为CVE-2024-24549）漏洞，在处理HTTP/2哀求时，如果哀求超过任何标头的配置限制，则在处理完全部标头之前，关联的HTTP/2流不会重置。该漏洞可能导致拒绝服务攻击，使得合法用户无法正常利用服务。攻击者可以通过构造特制的HTTP哀求来触发该漏洞，从而对服务器造成严重影响。
解决方法：

升级 org.apache.tomcat.embed 依赖版本到 9.0.86。
修改pom.xml文件：

1.         <!-- tomcat -->
2.         <dependency>
3.             <groupId>org.apache.tomcat.embed</groupId>
4.             <artifactId>tomcat-embed-core</artifactId>
5.             <version>9.0.86</version>
6.         </dependency>
7.         <dependency>
8.             <groupId>org.apache.tomcat.embed</groupId>
9.             <artifactId>tomcat-embed-el</artifactId>
10.             <version>9.0.86</version>
11.         </dependency>
12.         <dependency>
13.             <groupId>org.apache.tomcat.embed</groupId>
14.             <artifactId>tomcat-embed-websocket</artifactId>
15.             <version>9.0.86</version>
16.         </dependency>
17.         <dependency>
18.             <groupId>org.apache.tomcat</groupId>
19.             <artifactId>tomcat-annotations-api</artifactId>
20.             <version>9.0.86</version>
21.         </dependency>
23.         <!-- Exclude conflicting dependencies -->
24.         <dependency>
25.             <groupId>org.springframework.boot</groupId>
26.             <artifactId>spring-boot-starter-tomcat</artifactId>
27.             <exclusions>
28.                 <exclusion>
29.                     <groupId>org.apache.tomcat.embed</groupId>
30.                     <artifactId>tomcat-embed-core</artifactId>
31.                 </exclusion>
32.                 <exclusion>
33.                     <groupId>org.apache.tomcat.embed</groupId>
34.                     <artifactId>tomcat-embed-el</artifactId>
35.                 </exclusion>
36.                 <exclusion>
37.                     <groupId>org.apache.tomcat.embed</groupId>
38.                     <artifactId>tomcat-embed-websocket</artifactId>
39.                 </exclusion>
40.             </exclusions>
41.         </dependency>
43.         <dependency>
44.             <groupId>org.springframework.boot</groupId>
45.             <artifactId>spring-boot-starter-web</artifactId>
46.             <exclusions>
47.                 <exclusion>
48.                     <groupId>org.apache.tomcat.embed</groupId>
49.                     <artifactId>tomcat-embed-core</artifactId>
50.                 </exclusion>
51.                 <exclusion>
52.                     <groupId>org.apache.tomcat.embed</groupId>
53.                     <artifactId>tomcat-embed-el</artifactId>
54.                 </exclusion>
55.                 <exclusion>
56.                     <groupId>org.apache.tomcat.embed</groupId>
57.                     <artifactId>tomcat-embed-websocket</artifactId>
58.                 </exclusion>
59.             </exclusions>
60.         </dependency>

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。