快捷導航

springboot內(nèi)嵌Tomcat安全漏洞修復方式

更新時間：2024年10月08日 09:11:37 作者：lzh_me

針對CVE-2020-1938漏洞,建議升級Tomcat至安全版本以避免受影響,影響版本包括：Apache Tomcat 9.x小于9.0.31、Apache Tomcat 8.x小于8.5.51、Apache Tomcat 7.x小于7.0.100及Apache Tomcat 6.x,

springboot內(nèi)嵌Tomcat安全漏洞修復

漏洞掃描提示的是tomcat-embed-core[CVE-2020-1938]，解決方式是升級tomcat的版本。

該漏洞影響的版本

Apache Tomcat 9.x < 9.0.31
Apache Tomcat 8.x < 8.5.51
Apache Tomcat 7.x < 7.0.100
Apache Tomcat 6.x

其余的安全漏洞也可以通過升級版本的方式解決，或者找對應tomcat版本的修復補丁，這里只是介紹版本升級。

問題的關(guān)鍵點是如何升級Springboot內(nèi)嵌的tomcat版本。

1、確認內(nèi)嵌tomcat的版本

通過mvn dependency:tree命令

首先進入項目的目錄，一定是項目的目錄，cmd窗口或者IDEA的Terminal窗口運行：

mvn dependency:tree > tree.txt

命令運行結(jié)果：

打開txt文本：

PS：我這是升級版本號之后的運行結(jié)果，我之前的版本是9.0.16

2、升級版本

Springboot升級內(nèi)嵌tomcat的方法是在pom.xml中添加<tomcat.version>9.0.37</tomcat.version>

<properties>
		<project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
		<project.reporting.outputEncoding>UTF-8</project.reporting.outputEncoding>
		<java.version>1.8</java.version>
		<tomcat.version>9.0.37</tomcat.version>
</properties>

這種方式只是針對Springboot項目。

也可以通過先排除后引入的方式升級：

<dependency>
			<groupId>org.springframework.cloud</groupId>
			<artifactId>spring-cloud-starter-netflix-eureka-server</artifactId>
			<exclusions>
				<exclusion>
					<groupId>org.apache.tomcat.embed</groupId>
					<artifactId>tomcat-embed-core</artifactId>
				</exclusion>
				<exclusion>
					<groupId>org.apache.tomcat.embed</groupId>
					<artifactId>tomcat-embed-el</artifactId>
				</exclusion>
				<exclusion>
					<groupId>org.apache.tomcat.embed</groupId>
					<artifactId>tomcat-embed-websocket</artifactId>
				</exclusion>
			</exclusions>
		</dependency>

		<dependency>
			<groupId>org.apache.tomcat.embed</groupId>
			<artifactId>tomcat-embed-core</artifactId>
			<version>9.0.37</version>
			<scope>compile</scope>
			<optional>true</optional>
		</dependency>
		<dependency>
			<groupId>org.apache.tomcat.embed</groupId>
			<artifactId>tomcat-embed-el</artifactId>
			<version>9.0.37</version>
			<scope>compile</scope>
			<optional>true</optional>
		</dependency>