漏洞名称：
Apache Tomcat HTTP 请求走私漏洞
组件名称：
Apache Tomcat
影响范围：
10.0.0 ≤ Apache Tomcat ≤ 10.0.26
10.1.0 ≤ Apache Tomcat ≤ 10.1.0-M20
9.0.0 ≤ Apache Tomcat ≤ 9.0.67
8.5.0 ≤ Apache Tomcat ≤ 8.5.82
漏洞类型：
权限提升
利用条件：
1、用户认证：不需要用户认证
2、前置条件：关闭 rejectIllegalHeader 前置条件
3、触发方式：远程
综合评价：
<综合评定利用难度>：未知。
<综合评定威胁等级>：中危，能造成钓鱼攻击。
组件介绍：
Apache Tomcat 是美国阿帕奇（Apache）基金会的一款轻量级 Web 应用服务器。该程序实现了对Servlet 和 JavaServer Page（JSP）的支持。
漏洞简介：
2022 年11月1日，监测到一则 Apache Tomcat 组件存在 HTTP 请求走私漏洞的信息，漏洞编号：CVE-2022-42252，漏洞威胁等级：中危。
在关闭 rejectIllegalHeader 的条件下，攻击者可利用该漏洞构造恶意 HTTP Header 在未授权的情况执行钓鱼攻击。
漏洞影响范围：
目前受影响的 Apache Tomcat 版本：
10.0.0 ≤ Apache Tomcat ≤ 10.0.26
10.1.0 ≤ Apache Tomcat ≤ 10.1.0-M20
9.0.0 ≤ Apache Tomcat ≤ 9.0.67
8.5.0 ≤ Apache Tomcat ≤ 8.5.82
解决方案：
如何检测组件版本
Windows 系统
在 Tomcat 的 bin 目录下，输入 catalina version 命令即可显示当前版本信息。
Linux 系统
在 bin 目录下执行 sh 命令或 ./ 命令可显示当前版本信息。
官方修复建议
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：
Apache Tomcat系列10
/
Apache Tomcat系列9
/
Apache Tomcat系列8
/
参考链接：
/thread/zzcxzvqfdqn515zfs3dxb7n8gty589sq