产品中心
产品中心
基础安全
T-Sec 主机安全
容器安全服务 TCSS
T-Sec Web应用防火墙
T-Sec 云防火墙
T-Sec 安全运营中心
T-Sec iOA零信任安全管理系统
业务安全
T-Sec 天御验证码
T-Sec 天御文本内容安全
T-Sec 天御视频内容安全
T-Sec 全栈式风控引擎
T-Sec 手游安全
T-Sec 小程序安全
T-Sec 应用合规平台
数据安全
T-Sec 堡垒机
T-Sec 数据安全审计
T-Sec 云访问安全代理
T-Sec 凭据管理系统
T-Sec 密钥管理系统
T-Sec 云加密机
T-Sec 数据安全治理中心
安全服务
T-Sec 安全专家服务
一站式等保服务
T-Sec 安全托管服务
渗透测试服务
应急响应服务
重要时期安全保障服务
安全攻防对抗服务
了解全部安全产品→
解决方案
解决方案
通用解决方案
等保合规安全解决方案
直播安全解决方案
数据安全解决方案
品牌保护解决方案
高防云主机安全解决方案
腾讯安心平台解决方案
行业场景方案
游戏安全场景方案
电商安全场景方案
智慧零售场景方案
智慧出行场景方案
安全专项解决方案
勒索病毒专项解决方案
重大保障安全解决方案
NEW
最新动态
威胁研究
合作伙伴
更多
更多
关于我们
腾讯安全介绍
荣誉认证
帮助中心
帮助文档
考试认证
在线课堂
证书查询
联系我们
产品方案咨询
寻求市场合作
友情链接
腾讯云

威胁研究

正文

CVE-2021-33037：Apache Tomcat HTTP 请求走私漏洞风险通告

2021-07-13 02:39:09

7月12日，Apache 官方发布安全漏洞通告，公布了Tomcat 10.0.0-M1 到 10.0.6、9.0.0.M1 到 9.0.46 和 8.5.0 到 8.5.66 在某些情况下没有正确解析 HTTP 传输编码请求标头，与反向代理一起使用时，可能导致请求走私。

漏洞编号：CVE-2021-33037

漏洞等级：重要

漏洞详情：

Apache Tomcat 没有正确解析 HTTP 传输编码请求，在某些情况下与反向代理一起使用时导致请求走私。

如果客户端声明它只接受 HTTP/1.0 响应，Tomcat 会错误地忽略传输编码标头。

Tomcat是由Apache软件基金会属下Jakarta项目开发的Servlet容器，按照Sun Microsystems提供的技术规范，实现了对Servlet和JavaServer Page（JSP）的支持，并提供了作为Web服务器的一些特有功能，如Tomcat管理和控制平台、安全局管理和Tomcat阀等。由于Tomcat本身也内含了HTTP服务器，因此也可以视作单独的Web服务器。

受影响的版本：

Apache Tomcat 10.0.0-M1 - 10.0.6

Apache Tomcat 9.0.0.M1 - 9.0.46

Apache Tomcat 8.5.0 - 8.5.66

安全版本：

Apache Tomcat 10.0.7 或更高版本

Apache Tomcat 9.0.48 或更高版本

Apache Tomcat 8.5.68 或更高版本

漏洞修复：

腾讯安全专家建议受影响的用户升级Apache Tomcat到安全版本。

参考资料：

https://nvd.nist.gov/vuln/detail/CVE-2021-33037