Apache Tomcat 信息泄露漏洞CVE-2023-28708
- CNNVD编号：未知
- 危害等级： 高危
- CVE编号：CVE-2023-28708
- 漏洞类型： 信息泄露
- 威胁类型：远程
- 厂 商：未知
- 漏洞来源：深信服
- 发布时间：2023-03-27
- 更新时间：2023-03-27
漏洞简介
该漏洞是由于 RemoteIpFilter 接受携带 X-Forwarded-Proto 请求头的通过反向代理的 HTTP 协议请求被设置为 HTTPS 时，Tomcat 创建的会话或 Cookie 不包括安全属性，这可能会导致用户代理将 Cookie 或 Session 通过不安全的隧道传输。攻击者可利用该漏洞在未授权的情况下泄漏 Cookie 或 Session，最终造成服务器敏感性信息泄露。
漏洞公示
暂无
参考网站
https://lists.apache.org/thread/hdksc59z3s7tm39x0pp33mtwdrt8qr67
https://tomcat.apache.org/security-11.html
https://tomcat.apache.org/security-10.html
https://tomcat.apache.org/security-9.html
https://tomcat.apache.org/security-8.html
受影响实体
目前受影响的 Apache Tmocat 版本：
11.0.0-M1 ≤ Apache Tomcat ≤ 11.0.0-M2
10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.5
9.0.0-M1 ≤ Apache Tomcat ≤ 9.0.71
8.5.0 ≤ Apache Tomcat ≤ 8.5.85
补丁
官方修复建议
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。各个版本链接如下：
Apache Tomcat 11系列: https://tomcat.apache.org/download-11.cgi
Apache Tomcat 10系列: https://tomcat.apache.org/download-10.cgi
Apache Tomcat 9系列: https://tomcat.apache.org/download-90.cgi
Apache Tomcat 8系列: https://tomcat.apache.org/download-80.cgi
深信服解决方案
1.风险资产发现
支持对 Apache Tomcat 组件的主动检测，可批量检出业务场景中该事件的受影响资产情况，相关产品如下：
【深信服主机安全检测响应平台CWPP】已发布资产检测方案。
【深信服云镜YJ】已发布资产检测方案。
2.漏洞主动检测
支持对 Apache Tomcat 信息泄漏漏洞的主动检测，可批量快速检出业务场景中是否存在漏洞风险，相关产品如下：
【深信服云镜YJ】预计2023年3月27日发布检测方案。
【深信服漏洞评估工具TSS】预计2023年3月27日发布检测方案。
【深信服主机安全检测响应平台CWPP】预计2023年3月27日发布检测方案。
【深信服安全托管服务MSS】预计2023年3月27日发布检测方案。
【深信服安全检测与响应平台XDR】预计2023年3月27日发布检测方案。
