在 Apache Tomcat 10.0.0-M1 至 10.0.0-M6、9.0.0.M1 至 9.0.36、 8.5.0 至 8.5.56 和 7.0.27 至 7.0.104 中，WebSocket 框架中的承載長度未經過正確驗證。無效承載長度可觸發無限迴圈。具有無效承載長度的多個要求可導致拒絕服務。(CVE-2020-13935)

升級至 HTTP/2 後，h2c 直接連線至 Apache Tomcat 10.0.0-M1 至 10.0.0-M6、9.0.0.M5 至 9.0.36 以及 8.5.1 至 8.5.56 並未釋放 HTTP /1.1 處理器。如果提出足夠數量的此類要求，可能會發生 OutOfMemoryException，進而導致拒絕服務。 (CVE-2020-13934)

偵測

Amazon Linux AMI：tomcat8 (ALAS-2020-1409)

high Nessus Plugin ID 139089

版本 1.3