棱镜七彩安全预警
近日网上有关于开源项目Apache Tomcat 信息泄露漏洞，棱镜七彩威胁情报团队第一时间探测到，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。
项目介绍
Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。由于有了Sun 的参与和支持，最新的Servlet 和JSP 规范总是能在Tomcat 中得到体现，Tomcat 5支持最新的Servlet 2.4 和JSP 2.0 规范。因为Tomcat 技术先进、性能稳定，而且免费。成为目前比较流行的Web 应用服务器。
项目主页
https://tomcat.apache.org/
代码托管地址
https://github.com/apache/tomcat
CVE编号
CVE-2023-28708
漏洞情况
Apache Tomcat 是一款开源的 Web 应用服务器，RemoteIpFilter 是一个过滤器，用于将 HTTP 请求中代理服务器的 IP 地址替换为客户端的真实 IP 地址。
受影响版本中，当使用 RemoteIpFilter 处理通过 HTTP 从反向代理接收到的请求时，如果请求头中包含设置为 https 的 X-Forwarded-Proto 字段，Tomcat 创建的会话 cookie 将不包括 secure 属性，攻击者可能通过中间人攻击获取用户 cookie，从而使用受害者身份执行恶意操作。
受影响的版本
org.apache.tomcat:tomcat-catalina@[11.0.0, 11.0.0-M3)
org.apache.tomcat:tomcat-catalina@[10.0.0, 10.1.6)
org.apache.tomcat:tomcat-catalina@[9.0.0, 9.0.72)
org.apache.tomcat:tomcat-catalina@[8.0.0, 8.5.86)
修复方案
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。各个版本链接如下：
Apache Tomcat 11系列: https://tomcat.apache.org/download-11.cgi
Apache Tomcat 10系列: https://tomcat.apache.org/download-10.cgi
Apache Tomcat 9系列: https://tomcat.apache.org/download-90.cgi
Apache Tomcat 8系列: https://tomcat.apache.org/download-80.cgi
链接地址：
NVD - CVE-2023-28708
Apache Tomcat® - Apache Tomcat 11 vulnerabilities
Fix BZ 66471 - JSessionId secure attribute missing with RemoteIpFilte… · apache/tomcat@c64d496 · GitHub
查看更多安全漏洞：快速查询安全漏洞 ｜ 柒巧板
