Apache Tomcat HTTP/2回绝服务缝隙安全公告

颁布功夫 2019-03-26

缝隙编号和级别


CVE编号：cve-2019-0199，危险级别：高危，CVSS分值：厂商自评7.5，官方未评定


影响版本


Apache Tomcat 9.0.0.M1 至 9.0.14

Apache Tomcat 8.5.0 至 8.5.37


缝隙概述


Apache Tomcat官方披露了—个HTTP/2的DoS缝隙，该缝隙系HTTP/2在接管过量SETTINGS Frame流数据时允许客户端在不读／写要求／响应数据的情况下依然维持流打开状态，攻击者能够利用该缝隙从客户端提议大量的open stream要求从而阻塞服务器端的线程，引起服务器端线程资源耗尽从而导致服务不成用。


缝隙验证


暂无POC、EXP

查看Apache Tomcat对应的版本号是否在受影响版技巧域内。


建复建议


目前缝隙细节已经披露，官方也在Apache Tomcat 9.0.16、Apache Tomcat8.5.38及以来版本建复中予以建复。
http://tomcat.apache.org/security-9.html

http://tomcat.apache.org/security-8.html


参考链接


https://www.mail-archive.com/dev@tomcat.apache.org/msg132386.html