Tomcat 又爆安全漏洞
CVE-2011-1184 Apache Tomcat - Multiple weaknesses in HTTP DIGEST authentication
嚴重性: 中等
所影響的版本：
- - Tomcat 7.0.0 to 7.0.11
- - Tomcat 6.0.0 to 6.0.32
- - Tomcat 5.5.0 to 5.5.33
- - Earlier, unsupported versions may also be affected
漏洞描述:
The implementation of HTTP DIGEST authentication was discovered to
have several weaknesses:
- - replay attacks were permitted
- - server nonces were not checked
- - client nonce counts were not checked
- - qop values were not checked
- - realm values were not checked
- - the server secret was hard-coded to a known string
The result of these weaknesses is that DIGEST authentication was only
as secure as BASIC authentication.
解決方法:
Users of Tomcat 7.0.x should upgrade to 7.0.12 or later
Users of Tomcat 6.0.x should upgrade to 6.0.33 or later
Users of Tomcat 5.5.x should upgrade to 5.5.34 or later
Tomcat 服務器是一個免費的開放源代碼的Web 應用服務器。
Tomcat是Apache 軟件基金會（Apache Software Foundation）的Jakarta 項目中的一個核心項目，由Apache、Sun 和其他一些公司及個人共同開發而成。由于有了Sun 的參與和支持，最新的Servlet 和JSP 規范總是能在Tomcat 中得到體現，Tomcat 5 支持最新的Servlet 2.4 和JSP 2.0 規范。因為Tomcat 技術先進、性能穩定，而且免費，因而深受Java 愛好者的喜愛并得到了部分軟件開發商的認可，成為目前比較流行的Web 應用服務器。
Tomcat 很受廣大程序員的喜歡，因為它運行時占用的系統資源小，擴展性好，支持負載平衡與郵件服務等開發應用系統常用的功能；而且它還在不斷的改進和完善中，任何一個感興趣的程序員都可以更改它或在其中加入新的功能。
Tomcat 是一個小型的輕量級應用服務器，在中小型系統和并發訪問用戶不是很多的場合下被普遍使用，是開發和調試JSP 程序的首選。對于一個初學者來說，可以這樣認為，當在一臺機器上配置好Apache 服務器，可利用它響應對HTML 頁面的訪問請求。實際上Tomcat 部分是Apache 服務器的擴展，但它是獨立運行的，所以當你運行tomcat 時，它實際上作為一個與Apache 獨立的進程單獨運行的。
這里的訣竅是，當配置正確時，Apache 為HTML頁面服務，而Tomcat 實際上運行JSP 頁面和Servlet。另外，Tomcat和IIS、Apache等Web服務器一樣，具有處理HTML頁面的功能，另外它還是一個Servlet和 JSP容器，獨立的Servlet容器是Tomcat的默認模式。不過，Tomcat處理靜態HTML的能力不如Apache服務器。 7.0.21
最新版7.0.21下載
Please see the README file for packaging information. It explains what every distribution contains.
| Binary Distributions |
|
| Source Code Distributions |
|
|