Ubuntu 22.04环境下XWiki Tomcat升级及CVE-2022-45143相关问题咨询

当前系统及软件环境 #

先给大家列一下我的系统和部署情况：

System Information:
Description:    Ubuntu 22.04.1 LTS
Release:        22.04
Codename:       jammy
Server version: Apache Tomcat/9.0.58 (Ubuntu)
Server built:   Jan 6 1970 15:09:28 UTC
Server number:  9.0.58.0
OS Name:        Linux
OS Version:     5.15.0-58-generic
Architecture:   amd64
JVM Version:    11.0.17+8-post-Ubuntu-1ubuntu222.04
JVM Vendor:     Ubuntu

我是通过Debian包部署的XWiki，这个包直接集成了PostgreSQL、Tomcat和XWiki，完全按照官方的APT安装指南操作的。

遇到的问题 #

现在发现当前用的Tomcat版本存在CVE-2022-45143安全漏洞，查Ubuntu的安全公告时，看到针对jammy版本标注了“needs triage”，不太懂这是什么意思。另外我还发现没办法单独把Tomcat从9.0.58.0升级到9.0.69.0，想请教下该怎么处理。

一、关于“needs triage”的含义 #

在Ubuntu的安全响应流程里，“needs triage”简单来说就是这个漏洞还在评估排期阶段。安全团队还在做几件关键的确认工作：

• 这个漏洞是否真的会影响Ubuntu 22.04（jammy）里打包的Tomcat版本
• 漏洞的实际危害程度到底有多高
• 有没有可行的修复补丁，以及补丁会不会破坏现有系统或依赖软件（比如你的XWiki）的兼容性

在这个阶段，官方还不会推送正式的修复包到软件源里，需要再等一段时间看评估结果。

二、关于Tomcat无法单独升级的问题 #

因为你是用集成了XWiki、Tomcat、PostgreSQL的Deb包安装的，Tomcat是作为这个集成包的一部分被管理的，并非独立的Tomcat软件包。所以你没办法直接通过APT命令单独把Tomcat升级到9.0.69——这个版本既不在Ubuntu官方源，也不在XWiki提供的APT源里。

给你几个可行的解决方案：

• 优先等官方修复：这是最稳妥的方式。要么等Ubuntu安全团队完成评估后推出适配jammy的Tomcat修复包，要么等XWiki更新他们的APT集成包，把修复后的Tomcat版本包含进去。这种方式不会破坏XWiki和其他组件的兼容性。
• 手动替换Tomcat（谨慎操作）：如果等不及官方修复，可以尝试手动下载Tomcat 9.0.69的官方包替换现有版本，但一定要注意：
  • 提前备份好Tomcat的配置文件、XWiki的webapp目录以及数据库数据
  • 确保新Tomcat的配置（比如端口、用户权限、JVM参数）和原来的完全一致，尤其是XWiki依赖的那些配置项
  • 替换后一定要全面测试XWiki的功能，避免出现兼容性问题
• 切换到独立部署模式：如果后续经常遇到这类版本升级限制，可以考虑把XWiki、Tomcat、PostgreSQL分开独立安装管理，这样就能分别控制每个组件的版本升级节奏了。

备注：内容来源于stack exchange，提问作者Daniel