【X 精華】PHP 才剛修完，Tomcat 又來？Apache Tomcat 一口氣公開 8 個漏洞，日本工程圈哀號

摘要

前情提要：這週日本工程圈根本是「漏洞週」。先是 PHP 重大漏洞讓 pixiv 等一票服務緊急維修，GitLab 也補了 CVSS 滿分的洞。Apache Tomcat 是很多 Java 網站背後跑的伺服器，企業系統幾乎都看得到它。 最新發展：Apache 基金會 10/20 公開 Tomcat 共 8 個漏洞，影響 9、10、11 三條版本線。其中 3 個的 CVSS 分數是 9.1（Apache 自己評的等級是 Important）：一個是 HTTP/2 非同步處理出錯後，可能把 A 用戶的請求或回應混給 B 用戶；一個是 JNDIRealm 在特定 SASL 設定下，不用正確密碼也可能通過驗證；還有一個是 AJP 回應混淆。目前官方沒有說已遭實際攻擊。好消息是修正版 9.0.123、10.1.61、11.0.27 早在 10/12 就發了。窓の杜 10/22 早上報導後，Tomca