一、漏洞详情

　　Apache Tomcat是一个流行的开源Web服务器和Java代码的Servlet容器。

　　近期监测到Apache官方发布安全公告，修复了Apache Tomcat中的一个信息泄露漏洞(CVE-2023-28708)。

　　当Apache Tomcat的RemoteIpFilter和HTTP反向代理一起使用时，如果请求中包含设置为https的X-Forwarded-Proto标头，则Tomcat创建的会话cookie未包括secure属性，可能导致用户代理通过不安全的通道传输会话cookie，造成敏感信息泄露。

　　建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

　　二、影响范围

　　Apache Tomcat版本：11.0.0-M1 - 11.0.0-M2

　　Apache Tomcat版本：10.1.0-M1 - 10.1.5

　　Apache Tomcat版本：9.0.0-M1 - 9.0.71

　　Apache Tomcat版本：8.5 .0 - 8.5.85

　　三、修复建议

　　目前该漏洞已经修复，受影响用户可升级到以下版本：

　　Apache Tomcat版本：>= 11.0.0-M3

　　Apache Tomcat版本：>= 10.1.6

　　Apache Tomcat版本：>= 9.0.72

　　Apache Tomcat版本：>= 8.5.86

　　下载链接：https://tomcat.apache.org/