西北农林科技大学信息化管理处（网络与教育技术中心）-全讯官网
发布日期：2021-10-18 作者： 来源：
一、漏洞概述
近日，apache 官方发布了apache tomcat 拒绝服务漏洞的风险通告，漏洞编号为cve-2021-42340。由于对历史 bug 63362 的修复引入了内存泄漏，当tomcat websocket连接关闭时，用于收集 http 升级连接指标的对象没有被释放，这就造成了内存泄漏，于是攻击者能够通过outofmemoryerror造成拒绝服务。拒绝服务攻击能够破坏tomcat服务可用性，漏洞危害较大。影响版本如下表所示：
组件 |
影响版本 |
安全版本 |
apache tomcat |
10.1.0-m1 - 10.1.0-m5 |
>= 10.1.0-m6 |
apache tomcat |
10.0.0-m10 - 10.0.11 |
>= 10.0.12 |
apache tomcat |
9.0.40 - 9.0.53 |
>= 9.0.54 |
apache tomcat |
8.5.60 - 8.5.71 |
>= 8.5.72 |
二、防护措施
将受影响的版本升级到安全版本。