【漏洞通告】Apache Tomcat 信息泄露漏洞CVE-2023-28708
【漏洞通告】Apache Tomcat 信息泄露漏洞CVE-2023-28708
深瞳漏洞实验室 深信服千里目安全技术中心 2023-03-24 18:08
漏洞名称：
Apache Tomcat 信息泄露漏洞CVE-2023-28708
组件名称：
Apache Tomcat
影响范围：
11.0.0-M1 ≤ Apache Tomcat ≤ 11.0.0-M2
10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.5
9.0.0-M1 ≤ Apache Tomcat ≤ 9.0.71
8.5.0 ≤ Apache Tomcat ≤ 8.5.85
漏洞类型：
信息泄露
利用条件：
1、用户认证：不需要用户认证
2、前置条件：无
3、触发方式：远程
综合评价：
<综合评定利用难度>：未知。
<综合评定威胁等级>：高危，能造成Cookie或Session不安全传输。
官方解决方案：
已发布
漏洞分析
组件介绍
Apache Tomcat软件是Jakarta Servlet、 Jakarta Server Pages、 Jakarta Expression Language、 Jakarta WebSocket、 Jakarta Annotations和 Jakarta Authentication 规范的开源实现 。Apache Tomcat实现了对Servlet和JavaServer Page（JSP）的支持，并提供了作为Web服务器的一些特有功能，如Tomcat管理和控制平台、安全域管理和Tomcat阀等。
漏洞简介
2023 年 3 月 24 日，深信服安全团队监测到一则 Apache Tomcat 组件存在信息泄露漏洞的信息，漏洞编号：CVE-2023-28708，漏洞威胁等级：高危。
该漏洞是由于 RemoteIpFilter 接受携带 X-Forwarded-Proto 请求头的通过反向代理的 HTTP 协议请求被设置为 HTTPS 时，Tomcat 创建的会话或 Cookie 不包括安全属性，这可能会导致用户代理将 Cookie 或 Session 通过不安全的隧道传输。攻击者可利用该漏洞在未授权的情况下泄漏 Cookie 或 Session，最终造成服务器敏感性信息泄露。
影响范围
目前受影响的 Apache Tmocat 版本：
11.0.0-M1 ≤ Apache Tomcat ≤ 11.0.0-M2
10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.5
9.0.0-M1 ≤ Apache Tomcat ≤ 9.0.71
8.5.0 ≤ Apache Tomcat ≤ 8.5.85
解决方案
如何检测组件版本
Windows 系统
在 Tomcat 的 bin 目录下，输入 catalina version 命令即可显示当前版本信息。
Linux 系统
在 bin 目录下执行 sh version.sh 命令或 ./version.sh 命令可显示当前版本信息。
官方修复建议
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。各个版本链接如下：
Apache Tomcat 11系列: https://tomcat.apache.org/download-11.cgi
Apache Tomcat 10系列: https://tomcat.apache.org/download-10.cgi
Apache Tomcat 9系列: https://tomcat.apache.org/download-90.cgi
Apache Tomcat 8系列: https://tomcat.apache.org/download-80.cgi
深信服解决方案
1.风险资产发现
支持对 Apache Tomcat 组件的主动检测，可批量检出业务场景中该事件的受影响资产情况，相关产品如下：
【深信服主机安全检测响应平台CWPP】已发布资产检测方案。
【深信服云镜YJ】已发布资产检测方案。
2.漏洞主动检测
支持对 Apache Tomcat 信息泄漏漏洞的主动检测，可批量快速检出业务场景中是否存在漏洞风险，相关产品如下：
【深信服云镜YJ】
预计2023年3月27日发布检测方案。
【深信服漏洞评估工具TSS】预计2023年3月27日发布检测方案。
【深信服主机安全检测响应平台CWPP】
预计2023年3月27日发布检测方案。
【深信服安全托管服务MSS】
预计2023年3月27日发布检测方案。
【深信服安全检测与响应平台XDR】
预计2023年3月27日发布检测方案。
参考链接
https://lists.apache.org/thread/hdksc59z3s7tm39x0pp33mtwdrt8qr67
https://tomcat.apache.org/security-11.html
https://tomcat.apache.org/security-10.html
https://tomcat.apache.org/security-9.html
https://tomcat.apache.org/security-8.html
时间轴
2023/3/24
深信服监测到 Apache Tomcat 官方发布安全补丁。
2023/3/24
深信服千里目安全技术中心发布漏洞通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。