Apache Tomcat h2c要求混合缝隙（CVE-2021-25122）

颁布功夫 2021-03-02

0x00 缝隙概述

CVE  ID

CVE-2021-25122

时   间

2021-03-02

类   型


等   级

高危

远程利用

是

影响领域


 

0x01 缝隙详情

image.png

2021年03月01日，Apache官方颁布安全布告，建复了Tomcat中的一个 h2c要求混合缝隙（CVE-2021-25122）。

当响应新的h2c衔接要求时，Apache Tomcat能够将要求标头和数量有限的要求主体从一个要求复造到另一个要求，这将导致用户A和用户B都能够看到用户A的要求了局。目前该缝隙已经建复，代码如下：

image.png

 

影响领域

Apache Tomcat 10.0.0-M1-10.0.0

Apache Tomcat 9.0.0.M1-9.0.41

Apache Tomcat 8.5.0-8.5.61

 

此表，由于Apache Tomcat对CVE-2020-9484的建复不齐全，导致Tomcat依然容易受到针对CVE-2020-9484的攻击（缝隙追踪为CVE-2021-25329，低危）。该缝隙将影响Apache Tomcat版本10.0.0-M1-10.0.0、9.0.0.M1-9.0.41、8.5.0-8.5.61、7.0.0-7.0.107，CVE-2020-9484的利用前提及缓解措施同样合用于此缝隙。

 

0x02 措置建议

针对CVE-2021-25122，建议升级至以下版本：

Apache Tomcat 10.0.2或更高版本。

Apache Tomcat 9.0.43或更高版本。

Apache Tomcat 8.5.63或更高版本。

 

针对CVE-2021-25329，建议升级至以下版本：

Apache Tomcat 10.0.2或更高版本。

Apache Tomcat 9.0.43或更高版本。

Apache Tomcat 8.5.63或更高版本。

Apache Tomcat 7.0.108或更高版本。

 

下载链接：

https://tomcat.apache.org/download-10.cgi

 

0x03 参考链接

https://tomcat.apache.org/security-10.html

http://mail-archives.apache.org/mod_mbox/www-announce/202103.mbox/%3Cb7626398-5e6d-1639-4e9e-e41b34af84de@apache.org%3E

http://mail-archives.apache.org/mod_mbox/www-announce/202103.mbox/%3C811bba77-e74e-9f9b-62ca-5253a09ba84f@apache.org%3E

https://github.com/apache/tomcat/commit/dd757c0a893e2e35f8bc1385d6967221ae8b9b9b#

 

0x04 功夫线

2021-03-01  Apache颁布安全布告

2021-03-02  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png