Apache Tomcat bis 5.5.12 Directory Listing Denial of Service

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.7$0-$5k0.00

Apache Tomcat stellt eine Umgebung zur Ausführung von Java-Code auf Webservern bereit, die im Rahmen des Jakarta-Projekts der Apache Software Foundation entwickelt wird. David Maciejak entdeckte eine Denial of Service-Schwachstelle, die sämtliche Versionen bis 5.5.12 betrifft. Und zwar erzeugen mehrere Anfragen auf Verzeichnisse mit mehreren Dateien als Inhalt und ohne Index-Datei eine hohe CPU-Auslastung. Dies kann dazu führen, dass legitimen Benutzern der Zugriff auf das besagte Verzeichnis, und zwar nur dieses, verwehrt bleibt. Bei den Versionen 5.5.11 ist dies ein konstanter Fehler. Bei der Version 5.5.12 wurde er teilweise adressiert: Dort regeneriert sich das System nach einigen Minuten wieder. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (42608) und Tenable (47029) dokumentiert. Die Einträge 1096, 3071, 3141 und 11829 sind sehr ähnlich.

Für den Vulnerability Scanner Nessus wurde am 16.06.2010 ein Plugin mit der ID 47029 (Apache Tomcat 4.x < 4.1.32 Multiple Vulnerabilities) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Web Servers zugeordnet und im Kontext r ausgeführt.

Grundsätzlich müssen zwei Dinge erfüllt sein, damit dieser Angriff Fuss fassen kann: So auf dem Webserver Index-Listing aktiviert und eine Vielzahl an Dateien in einem solchen Verzeichnis vorhanden sein. Diese Sicherheitskücke ist nicht wirklich akut, denn der Absturz eines solchen Webverzeichnisses ist lediglich lästig und keine wirklich grosse Gefahr.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.5
VulDB Meta Temp Score: 6.7

VulDB Base Score: 7.5
VulDB Temp Score: 6.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Denial of Service
CWE: CWE-404
ATT&CK: T1499

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Proof-of-Concept

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 47029
Nessus Name: Apache Tomcat 4.x < 4.1.32 Multiple Vulnerabilities
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

OpenVAS ID: 63305
OpenVAS Name: Ubuntu USN-710-1 (xine-lib)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Patch: tomcat.apache.org

Timelineinfo

03.11.2005 🔍
03.11.2005 +0 Tage 🔍
03.11.2005 +0 Tage 🔍
03.11.2005 +0 Tage 🔍
04.11.2005 +0 Tage 🔍
04.11.2005 +0 Tage 🔍
04.11.2005 +0 Tage 🔍
06.11.2005 +2 Tage 🔍
06.11.2005 +0 Tage 🔍
07.11.2005 +1 Tage 🔍
20.11.2005 +13 Tage 🔍
16.06.2006 +208 Tage 🔍
16.06.2010 +1461 Tage 🔍
05.07.2019 +3306 Tage 🔍

Quelleninfo

Hersteller: apache.org

Advisory: secunia.com
Person: David Maciejak
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2005-3510 (🔍)
X-Force: 42608
SecurityTracker: 1015147
Vulnerability Center: 9651 - DoS in Apache Tomcat via Large Number of Simultaneous Web Directory Listing Requests, High
SecurityFocus: 15325 - Apache Tomcat Simultaneous Directory Listing Denial Of Service Vulnerability
Secunia: 17416 - Apache Tomcat Directory Listing Denial of Service, Not Critical
OSVDB: 20439 - Apache Tomcat Directory Listing Saturation DoS
Vupen: ADV-2008-1979

scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍

Eintraginfo

Erstellt: 07.11.2005 11:32
Aktualisierung: 05.07.2019 09:46
Anpassungen: 07.11.2005 11:32 (95), 05.07.2019 09:46 (2)
Komplett: 🔍

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

Want to stay up to date on a daily basis?

Enable the mail alert feature now!