2023年3月23日，我中心收到一则Apache Tomcat组件存在信息泄露漏洞的信息，漏洞编号：CVE-2023-28708，漏洞威胁等级：高危。该漏洞是由于RemoteIpFilter接受携带X-Forwarded-Proto请求头的通过反向代理的HTTP协议请求被设置为HTTPS时，Tomcat 创建的会话或 Cookie 不包括安全属性，这可能会导致用户代理将Cookie或Session通过不安全的隧道传输。攻击者可利用该漏洞在未授权的情况下泄漏Cookie或Session，最终造成服务器敏感性信息泄露。

影响范围：

11.0.0-M1 ≤ Apache Tomcat ≤ 11.0.0-M2

10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.5

9.0.0-M1 ≤ Apache Tomcat ≤ 9.0.71

8.5.0 ≤ Apache Tomcat ≤ 8.5.85

官方解决方案：

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。各个版本链接如下：

Apache Tomcat 11系列: https://tomcat.apache.org/download-11.cgi

Apache Tomcat 10系列: https://tomcat.apache.org/download-10.cgi

Apache Tomcat 9系列: https://tomcat.apache.org/download-90.cgi

Apache Tomcat 8系列: https://tomcat.apache.org/download-80.cgi

信息中心建议受影响的部门及时下载对应版本的补丁进行安装修复，并做好二次核查。

若有疑问请联系信息中心。

信息中心

2023年3月24日