关于JFrog Artifactory内嵌Apache Tomcat漏洞及升级方案的问询

1. 如何查询JFrog的Tomcat升级/修复计划 #

• 查看JFrog官方安全公告和版本发布说明：这里会明确记录内嵌组件的修复情况及对应Artifactory版本的更新计划。
• 通过JFrog支持门户提交咨询（若有付费支持服务）：官方团队会提供精准的修复时间线。
• 关注JFrog官方发布的产品路线图：核心组件的升级规划通常会在路线图中体现。

2. JFrog是否支持终端用户自行升级内嵌Tomcat #

JFrog不建议用户自行升级内嵌Tomcat。Artifactory与内嵌Tomcat存在深度集成，包括专属配置、依赖绑定等，自行升级极易引发兼容性问题，导致服务异常、功能失效甚至数据风险。紧急情况下优先等待官方修复版本，而非自行操作。

3. 能否自行升级到Tomcat 9.0.72 #

虽然技术上可能有替换文件的操作空间，但强烈不推荐：

• 自行升级会违反Artifactory的官方支持协议，后续出现问题官方将无法提供协助。
• 内嵌Tomcat的配置文件、依赖库均与当前Artifactory版本绑定，升级后大概率会出现启动失败、请求异常等问题。
• 若安全团队坚持要求，建议先在测试环境完成充分验证，同时联系JFrog官方获取临时方案或确认可行性。

内容的提问来源于stack exchange，提问作者Paul Quinn