CVE-2020-11996 | Apache Tomcat HTTP/2回绝服务缝隙公告

颁布功夫 2020-06-29

0x00 缝隙概述



CVE   ID

CVE-2020-11996

时    间

2020-06-29

类型

DOS

等    级

高危

远程利用

是

影响领域

Apache Tomcat 10.0.0-M1至10.0.0-M5

Apache Tomcat 9.0.0.M1至9.0.35

Apache Tomcat 8.5.0至8.5.55


0x01 缝隙详情


宝运莱·(中国区)最新官方网站



Apache Tomcat是美国阿帕奇（Apache）软件基金会的一款轻量级Web利用服务器。该法式实现了对Servlet和JavaServer Page（JSP）的支持，是开发和调试JSP 法式的首选。Apache只支持静态网页，但像php,cgi,jsp等动态网页就必要Tomcat来处置。

2020年6月25日，Apache官方颁布安全布告，建复了一个Apache Tomcat中的HTTP/2回绝服务缝隙（CVE-2020-11996）。该缝隙源于恶意的HTTP/2要求序列可能会导致长达几秒钟的CPU高使用率，攻击者通过发送大量的此类要求来利用此缝隙，导致服务器回绝响应，从而实现DoS攻击。


0x02 措置建议


该缝隙影响Apache Tomcat 10.0.0-M1至10.0.0-M5版本、9.0.0.M1至9.0.35版本和8.5.0至8.5.55版本，官方已颁布最新版本，请有关用户实时升级，详情如下：

1. Apache Tomcat 10.0.0-M1至10.0.0-M5 版本的用户请升级到10.0.0-M6或更高版本，下载地址：https://tomcat.apache.org/download-10.cgi

2. Apache Tomcat 9.0.0.M1至9.0.35 版本的用户请升级到9.0.36或更高版本，下载地址：https://tomcat.apache.org/download-90.cgi

3. Apache Tomcat 8.5.0至8.5.55 版本的用户请升级到8.5.56或更高版本，下载地址：https://tomcat.apache.org/download-80.cgi


0x03 有关新闻


https://www.tenable.com/cve/CVE-2020-11996


0x04 参考链接


https://lists.apache.org/thread.html/r5541ef6b6b68b49f76fc4c45695940116da2bcbe0312ef204a00a2e0%40%3Cannounce.tomcat.apache.org%3E

http://mail-archives.us.apache.org/mod_mbox/www-announce/202006.mbox/%3Cfd56bc1d-1219-605b-99c7-946bf7bd8ad4%40apache.org%3E


0x05 功夫线


2020-06-25 Apache颁布安全布告

2020-06-29 VSRC颁布缝隙公告

宝运莱·(中国区)最新官方网站