Apache ha publicado una corrección
para una actualización anterior, incompleta, de la vulnerabilidad con
identificador CVE-2019-0199 que podría permitir a un atacante el agotamiento de
los hilos y la denegación del servicio (DoS), catalogada de Importancia: 4 -
Alta
Recursos afectados:
Apache Tomcat®, versiones:
- Desde la 8.5.0 hasta 8.5.40;
- Desde la 9.0.0.M1 hasta 9.0.19.
Recomendación
- Actualizar a la versión 8.5.41 o superior. https://tomcat.apache.org/download-80.cgi
- Actualizar a la versión 9.0.20 o
superior. http://tomcat.apache.org/download-90.cgi
Detalle de vulnerabilidades
Mediante esta actualización se corrige
una solución incompleta para el agotamiento de la ventana de conexión HTTP/2
durante la escritura. Al no enviar mensajes WINDOW_UPDATE para la ventana de
conexión (stream 0), los clientes podrían hacer que los hilos del lado del
servidor se bloquearan, provocando una denegación de servicio. Se ha reservado
el identificador CVE-2019-10072 para esta vulnerabilidad.
Más información
- Apache Tomcat 8.x vulnerabilities http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.41
- Apache Tomcat 9.x vulnerabilities http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.20
- Vulnerabilidad de denegación de servicio en Apache Tomcat https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/vulnerabilidad-denegacion-servicio-apache-tomcat
Fuente: INCIBE