#20313 – CVE-2009-0033 Apache Tomcat DoS when using Java AJP connector

Bug 20313 - CVE-2009-0033 Apache Tomcat DoS when using Java AJP connector

Summary: CVE-2009-0033 Apache Tomcat DoS when using Java AJP connector

Status:	CLOSED FIXED

Alias:	None

Product:	Sisyphus
Classification:	Development
Component:	tomcat6 (show other bugs)
Version:	unstable
Hardware:	all Linux

Importance:	P3 blocker
Assignee:	Nobody's working on this, feel free to take it
QA Contact:	qa-sisyphus

URL:	http://seclists.org/bugtraq/2009/Jun/...
Keywords:	security

Depends on:
Blocks:

Reported:	2009-06-04 14:01 MSD by Vladimir Lettiev
Modified:	2010-01-14 07:52 MSK (History)
CC List:	0 users

See Also:

Attachments
Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.

Description

Vladimir Lettiev 2009-06-04 14:01:09 MSD

+++ Данная ошибка создана размножением ошибки 20311 +++

Обнаружена уязвимоcть в Apache Tomcat. Если Tomcat получает запрос с некорректным заголовком через Java AJP коннектор, он не возвращает ошибки, а вместо этого закрывает AJP соединение. В случае если коннектор участвует в балансировке нагрузки mod_jk, то он блокируется примерно на минуту. Это поведение может быть использовано для организации DoS-атаки.

Исправление доступно в новой версии 6.0.20

Comment 1

Slava Semushin 2010-01-14 07:52:50 MSK

* Thu Jan 14 2010 Slava Semushin <php-coder@altlinux> 0:6.0.18-alt6_8jpp5

- NMU
- Applied upstream patches to fix following vulnerabilities:
  + CVE-2009-0033: DoS when using Java AJP connector
    (Closes: #20313)
  + CVE-2009-0580: User enumeration vulnerability with FORM authentication
    (Closes: #20315)
  + CVE-2009-0781: XSS in calendar example