Apache Tomcat HTTP/2拒绝效劳误差清静通告

宣布时间 2019-03-26

误差编号和级别


CVE编号：cve-2019-0199，， ， ， ，，危险级别：高危，， ， ， ，，CVSS分值：厂商自评7.5，， ， ， ，，官方未评定


影响版本


Apache Tomcat 9.0.0.M1 至 9.0.14

Apache Tomcat 8.5.0 至 8.5.37


误差概述


Apache Tomcat官方披露了—个HTTP/2的DoS误差，， ， ， ，，该误差系HTTP/2在吸收过量SETTINGS Frame流数据时允许客户端在不读／写请求／响应数据的情形下仍然坚持流翻开状态，， ， ， ，，攻击者可以使用该误差从客户端提倡大宗的open stream请求从而壅闭效劳器端的线程，， ， ， ，，引起效劳器端线程资源耗尽从而导致效劳不可用。。。。。


误差验证


暂无POC、EXP

审查Apache Tomcat对应的版本号是否在受影响版本规模内。。。。。


修复建议


现在误差细节已经披露，， ， ， ，，官方也在Apache Tomcat 9.0.16、Apache Tomcat8.5.38及以后版本修复中予以修复。。。。。
http://tomcat.apache.org/security-9.html

http://tomcat.apache.org/security-8.html


参考链接


https://www.mail-archive.com/dev@tomcat.apache.org/msg132386.html