Apache Tomcat發布重要安全公告，曝信息泄露及DoS漏洞

        Apache Tomcat 團隊今天接連發布了兩個重要安全公告，通知與 Tomcat 信息泄露相關的一個漏洞，以及另一個在此前廣受關注的哈希碰撞引發拒絕服務（DoS）漏洞，Apache 建議用戶對 Tomcat 進行升級從而規避此漏洞。

        漏洞一：Apache Tomcat 信息泄露（CVE-2011-3375）

        安全等級：重要

        受影響版本：

• Tomcat 7.0.0 ~ 7.0.21
• Tomcat 6.0.30 ~ 6.0.33

        漏洞描述：

        出于性能考慮，Tomcat 在解析請求時通常會將獲得的信息緩存于兩個位置，即：內部的 request 對象和 processor 對象。這些對象不能同時回收。當發生某些錯誤需要被記錄到 Tomcat 訪問日志時，訪問記錄 process 將在 requset 對象被回收后觸發該對象 re-population。然而，在 request 對象用于下一個請求前它尚未回收。這就會導致先前請求的信息泄露（例如，遠程 IP 地址、HTTP 頭等）。

        解決方法：

• Tomcat 7.0.x 系列的用戶應升級至7.0.22或以上版本
• Tomcat 6.0.x 系列用戶請升級至6.0.35或以上版本。

        參見：http://mail-archives.apache.org/mod_mbox/www-announce/201201.mbox/%3C4F155CDC.8050804@apache.org%3E

        漏洞二：Apache Tomcat 拒絕服務（CVE-2012-0022）

        安全等級：重要

        受影響版本：

• Tomcat 7.0.0 ~ 7.0.22
• Tomcat 6.0.0 ~ 6.0.33
• Tomcat 5.5.0 ~ 5.5.34

        漏洞描述：可以參見這篇文章介紹。

        解決方案：

• Tomcat 7.0.x 用戶請升級至 7.0.23 或以上版本
• Tomcat 6.0.x 用戶請升級至6.0.35 或以上版本
• Tomcat 5.5.x 用戶請升級至5.5.35 或以上版本

        參見：http://mail-archives.apache.org/mod_mbox/www-announce/201201.mbox/%3C4F155CE2.3060301@apache.org%3E
來自: www.iteye.com