BDU:2015-00407

Опубликовано: 31 мая 2014

Источник: fstec

CVSS2: 4.3

EPSS Высокий

Описание

Целочисленное переполнение в java/org/apache/tomcat/util/buf/Ascii.java в Apache Tomcat (при работе с обратным прокси-сервером) позволяет злоумышленникам, действующим удаленно, произвести атаку со скрытым HTTP запросом при помощи специально сформированного заголовка Content-Length HTTP.

Вендор

Apache Software Foundation

Наименование ПО

Tomcat

Версия ПО

от 6.0.0 до 6.0.40 (Tomcat)

от 7.0.0 до 7.0.53 (Tomcat)

от 8.0.0 до 8.0.4 (Tomcat)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)

Возможные меры по устранению уязвимости

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:

http://tomcat.apache.org

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0099
CVE

EPSS

Процентиль: 99%

0.70609

Высокий

4.3 Medium

CVSS2

Связанные уязвимости

CVE-2014-0099

ubuntu

больше 11 лет назад

Integer overflow in java/org/apache/tomcat/util/buf/Ascii.java in Apache Tomcat before 6.0.40, 7.x before 7.0.53, and 8.x before 8.0.4, when operated behind a reverse proxy, allows remote attackers to conduct HTTP request smuggling attacks via a crafted Content-Length HTTP header.