关于Apache Tomcat拒绝服务漏洞（CVE-2024-38286）的安全预警

一、 基本情况

Apache Tomcat是一个流行的开源Web服务器和Java Servlet容器。

二、 漏洞描述

Apache Tomcat中修复了一个拒绝服务漏洞（CVE-2024-38286）。

Apache Tomcat在某些配置下处理 TLS 握手过程的方式中存在安全问题，可能导致威胁者通过滥用TLS握手过程导致内存过度消耗，从而引发OutOfMemoryError并可能导致拒绝服务。

三、 影响范围

Apache Tomcat 11.0.0-M1 - 11.0.0-M20

Apache Tomcat 10.1.0-M1 - 10.1.24

Apache Tomcat 9.0.13 - 9.0.89

四、 修复建议

目前该漏洞已经修复，受影响Apache Tomcat用户（所有平台）可升级到以下版本：

Apache Tomcat >= 11.0.0-M21

Apache Tomcat >= 10.1.25

Apache Tomcat >= 9.0.90

下载链接：

https://tomcat.apache.org/index.html

五、 参考链接

https://lists.apache.org/thread/8xm50bvr6rhbjkdtbxl5x4d20dpfy83p

https://github.com/apache/tomcat/commit/3197862639732e16ec1164557bcd289ebc116c93