Bug 20311 - CVE-2009-0033 Apache Tomcat DoS when using Java AJP connector
Summary: CVE-2009-0033 Apache Tomcat DoS when using Java AJP connector
Status: CLOSED FIXED
Alias: None
Product: Sisyphus
Classification: Development
Component: tomcat5 (show other bugs)
Version: unstable
Hardware: all Linux
: P3 blocker
Assignee: viy
QA Contact: qa-sisyphus
URL: http://seclists.org/bugtraq/2009/Jun/...
Keywords: security
Depends on:
Blocks:
 
Reported: 2009-06-04 13:59 MSD by Vladimir Lettiev
Modified: 2010-03-19 17:59 MSK (History)
3 users (show)

See Also:

Attachments
Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.
Description Vladimir Lettiev 2009-06-04 13:59:06 MSD 
Обнаружена уязвимоcть в Apache Tomcat. Если Tomcat получает запрос с некорректным заголовком через Java AJP коннектор, он не возвращает ошибки, а вместо этого закрывает AJP соединение. В случае если коннектор участвует в балансировке нагрузки mod_jk, то он блокируется примерно на минуту. Это поведение может быть использовано для организации DoS-атаки.

Исправление доступно в новой версии 5.5.28
Comment 1 Repository Robot 2010-03-19 17:59:52 MSK 
tomcat5-0:5.5.27-alt4_7.4jpp5 -> sisyphus:

* Fri Mar 19 2010 Igor Vlasenko <viy@altlinux> 0:5.5.27-alt4_7.4jpp5

- updated to fc 7.4
- CVE-2009-0033, CVE-2009-0580 (closes: 20311, 20314)
- su -s /bin/sh -c instead of su - (closes: #23073)