Подмена данных

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:P/A:N)

HP

Apache (B.2.0.59.00)

Jakarta Tomcat и Tomcat позволяют злоумышленникам, действующим удаленно, засорить веб-кэш, обойти защиту межсетевого экрана веб-приложения и провести атаку межсайтового выполнения сценариев, используя HTTP-запрос с заголовками Transfer-Encoding: chunked и Content-Length одновременно. Из-за этого Tomcat некорректно обрабатывает и перенаправляет тело запроса так, что получающий сервер обрабатывает их как отдельные HTTP-запросы. Данная уязвимость известна как HTTP Request Smuggling.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.apache.org/

BUGTRAQ (20050606 A new whitepaper by Watchfire - HTTP Request Smuggling): http://seclists.org/lists/bugtraq/2005/Jun/0025.html
MISC (http://www.watchfire.com/resources/HTTP-Request-Smuggling.pdf): http://www.watchfire.com/resources/HTTP-Request-Smuggling.pdf
MISC (http://www.securiteam.com/securityreviews/5GP0220G0U.html): http://www.securiteam.com/securityreviews/5GP0220G0U.html
SECTRACK (1014365): http://securitytracker.com/id?1014365
http://tomcat.apache.org/security-4.html
http://tomcat.apache.org/security-5.html
http://tomcat.apache.org/security-6.html
REDHAT (RHSA-2007:0327): http://www.redhat.com/support/errata/RHSA-2007-0327.html