姊妹站最新文章
事件經過
Apache軟體基金會於10月20日公布，運行Java網頁應用程式的伺服器「Apache Tomcat」存在8項漏洞。CVSS風險評分最高達9.1，其中包含被評為「CRITICAL（危急）」等級的漏洞，官方表示更新至v9.0.123／v10.1.61／v11.0.27版本即可修補。討論串中不少人因「Apache」這個名字誤以為它只是單純的網頁伺服器，對於Tomcat其實是Java的Servlet容器這一說明感到驚訝，也有不少現場工程師哀嘆週末恐怕得加班。雖然也有人發文懷疑此事與「My Number（日本國民身分證號）」卡系統有關，但並無確切根據，純屬猜測。
The Apache Software Foundation（ASF）於10月20日公布，「Apache Tomcat」共存在8項漏洞，影響「Apache Tomcat」v9／v10／v11系列版本。雖然ASF與CVSS:3.1或4.0的危險等級評估結果略有不同，但其中包含CVSS:3.1或4.0評分最高達9.1（CRITICAL／危急）的漏洞。
所有漏洞皆可透過更新至10月12日發布的「Apache Tomcat」v9.0.123／v10.1.61／v11.0.27版本來修補。各漏洞的CVE編號、危險等級，以及受影響的支援中版本範圍如下。
（略）
出處：news.yahoo.co.jp／原文請見此處
網友怎麼說
don't stop
Don't stop, Don't stop the server
Don't stop, Don't stop the server
來點更瀟灑的曲目讓我聽聽吧
不過是土木包工業而已～(´・ω・`)♪
這裡大叔還真多耶w
我這週末要加班確定了
那也沒什麼大不了的嘛
現在開始努力審查作業程序書的話
明天大概還能撐過深夜班吧…(´・ω:;.:…
Apache Tomcat的安全性函式庫雖然常常被爆出CVE漏洞
但我們公司沒在用那種高級的函式庫，所以沒問題
WebSocket相關也常常出CVE
但我們公司沒在用那種高級的函式庫，所以沒問題
我們只實作了PUT跟GET，完全不跟潮流、超陽春的系統，反而安全無虞
不用JS喔？
Ajax的非同步post應該是標配可以用吧
塔波伊塔波伊♪
原本以為只是網站本身的問題
結果連PHP都被攻破
現在連更上層的Apache也淪陷了嗎
說到Apache那就是另一回事了
不過那邊至少也該用nginx吧
這個比PHP還糟糕
欸？
難道很多人以為它是網頁伺服器？
湯姆貓（Tomcat）這種東西，沒寫過Java的人確實不會知道吧
啾～（尷尬）
剛剛是脊髓反射亂回的
是Servlet啦
這知識早已塵封在記憶深處
不過實際碰一下應該就會想起來吧
跟
tomcat
幾乎大半伺服器都要停擺的八卦
只有5ch掛掉的時候才會引起騷動吧
頂多就是那些像古董一樣的伺服器吧
5ch的伺服器是磁帶跑COBOL的，所以沒問題
可以把它想成是Java的中介角色。大概就是那種API被標準內建在Apache裡的感覺吧。
就是搞J2EE那個年代的東西吧
大家當年居然都能接受那種變態規格，笑死ｗｗｗ
回覆 #87
這幾位感覺也是把它當成網頁伺服器了吧～
湯姆貓真的沒什麼知名度耶
雖然不是boot，但我曾經短暫碰過Spring～真懷念
那是我最後一次寫Java了
結果馬上就被調去做Node.js了😓
FANZA（日本成人內容平台）應該沒事吧？
帶著My Number卡趕快逃吧
辦了卡也不會因此提高伺服器端漏洞被攻擊、導致資料外洩的風險啦
就算沒辦卡的人也一樣被分配了My Number，一樣被用在各種資料上
持有My Number卡的風險其實是卡片被偷或遺失
還有Ruby在…！
還有.NET派跟自以為很潮的Python派
網路已經完蛋了
回覆 #124
反正那些也是，最近靠「vibe coding（氛圍式寫程式，意指憑感覺用AI生成程式碼）」寫出來的爛code到處都是，根本沒人在意安全開發或品質
人類果然還太早擁有網路了
再怎麼說，承包政府最高機密專案的專業人士總不會用PHP吧…對吧ｗ
真的不會是那樣吧，對吧…ｗ
以前的My Number Portal是LINE做的吧？
外包轉包的黑幕太深了，搞不好根本沒人知道到底是哪家公司在做什麼
IT包工業的大型廠商層層抽佣轉包
實際動手做的其實是毫無鬥志的非正式員工
我曾經做過那種把Oracle換成Postgres
把Java換成PHP的工作
話題背景與討論焦點
Apache Tomcat雖然名稱中帶有「Apache」，但它與作為網頁伺服器本體的Apache HTTP Server是完全不同的東西，而是用來執行Java Servlet／JSP的應用程式伺服器。它常與Spring Boot等框架搭配，用於企業內部業務系統或政府機關的後端系統，一般使用者很少有機會直接接觸到它，因此討論串中「原本以為是網頁伺服器」的誤解相當普遍。CVSS 9.1屬於不需身份驗證即可發動攻擊的高風險等級，若放著不處理，影響範圍可能相當大。另一方面，討論串中雖然出現懷疑此次漏洞是否會影響My Number卡相關系統的發言，但並未獲得證實，讀者應留意這部分終究只是出於不安而產生的猜測。
※本文整理、摘自5ch（新聞速報+）討論串「【IT】「Apache Tomcat」出現最高危急級「CRITICAL」漏洞」。
發佈留言