CVE-2024-50379 (RCE) & CVE-2024-54677 (DoS) Vulnerabilities in Apache Tomcat: Key Insights You Need to Know
Apache Tomcat 已针对漏洞 CVE-2024-50379 和 CVE-2024-54677 发布了补丁，修复了远程代码执行与拒绝服务风险。
引言
Apache Tomcat 作为广泛使用的开源 Web 服务器与 Servlet 容器，近期通过版本更新解决了两个关键安全漏洞，这再次凸显了主动进行系统维护的重要性。若未能及时修复，这些漏洞可能使系统面临严重的安全威胁。
漏洞摘要
远程代码执行 (RCE) - CVE-2024-50379
该漏洞源于 Tomcat 默认 Servlet 在大小写不敏感的文件系统环境中，与写权限配置不当的情况相互作用。攻击者可利用此缺陷远程执行任意代码，进而可能非法获取系统访问权限及敏感数据。采用此类配置的组织面临数据泄露与系统入侵的较高风险。
拒绝服务攻击 (DoS) - CVE-2024-54677
第二个漏洞与 Tomcat 的示例 Web 应用程序有关。攻击者可滥用这些应用上传大量数据，导致系统内存耗尽并崩溃（引发 OutofMemoryError）。此类拒绝服务攻击可能使合法用户无法访问服务，造成服务中断与运营故障。
受影响版本
运行以下版本的组织应优先进行更新：
- Apache Tomcat 11.0.0-M1 至 11.0.1
- Apache Tomcat 10.1.0-M1 至 10.1.33
- Apache Tomcat 9.0.0.M1 至 9.0.97
修复方案
Apache 已在以下版本中发布针对这些漏洞的补丁：
- Apache Tomcat 11.0.2 或更新版本 [已修复]
- Apache Tomcat 10.1.34 或更新版本 [已修复]
- Apache Tomcat 9.0.98 或更新版本 [已修复]
建议管理员采取以下措施：
- 立即升级至 Apache Tomcat 的最新版本。
- 审计配置，确保文件访问权限安全。
- 在生产环境中移除或禁用默认/示例应用程序。
主动安全措施
虽然打补丁可以解决眼前的风险，但组织也应采取主动的安全策略：
- 定期关注软件供应商的安全公告。
- 实施系统加固技术，以减少攻击面。
总结
CVE-2024-50379 与 CVE-2024-54677 漏洞凸显了保障开源系统安全所面临的日益复杂的挑战。通过及时更新与合理配置保持警惕，可确保系统在面对新兴威胁时更具弹性。 CSD0tFqvECLokhw9aBeRqq2lO5ENH41wGCguckSNg41F2r6jERkXwij6GgfR03VxvL3awTJWOPgAV5lRl/it7ria0li5IZsK/ojWffe2eALHGnPZiBLteYKGoh+cJKPzTQJAvEJaHPw3OMJpYvuTm56ybiXVBocV37yYBFtsaxtQWok3UVLCK5uM9dn5grwc
