漏洞预警|Apache Tomcat 信息泄露漏洞近日网上有关于开源项目Apache Tomcat 信息泄露漏洞，棱镜七

棱镜七彩安全预警

近日网上有关于开源项目Apache Tomcat 信息泄露漏洞，棱镜七彩威胁情报团队第一时间探测到，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。

项目介绍

Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。由于有了Sun 的参与和支持，最新的Servlet 和JSP 规范总是能在Tomcat 中得到体现，Tomcat 5支持最新的Servlet 2.4 和JSP 2.0 规范。因为Tomcat 技术先进、性能稳定，而且免费。成为目前比较流行的Web 应用服务器。

项目主页

tomcat.apache.org/

代码托管地址

github.com/apache/tomc…

CVE编号

CVE-2023-28708

漏洞情况

Apache Tomcat 是一款开源的 Web 应用服务器，RemoteIpFilter 是一个过滤器，用于将 HTTP 请求中代理服务器的 IP 地址替换为客户端的真实 IP 地址。

受影响版本中，当使用 RemoteIpFilter 处理通过 HTTP 从反向代理接收到的请求时，如果请求头中包含设置为 https 的 X-Forwarded-Proto 字段，Tomcat 创建的会话 cookie 将不包括 secure 属性，攻击者可能通过中间人攻击获取用户 cookie，从而使用受害者身份执行恶意操作。