Recientemente Apache ha solucionado los errores de divulgación de información y denegación de servicio en el servidor web y el contenedor servlet de Tomcat.

La falla de DoS fue descubierta en febrero por David Jorm, del equipo de respuestas de seguridad de Red Hat, dicha falla permitiría a un usuario mal intencionado crear un fragmento malformado como parte de una petición que podría permitir una cantidad ilimitada de datos que se transmiten al servidor. Lo cual podría eludir el límite  permitido, forzando una respuesta y desencadenando una Denegación de Servicios.

La divulgación de información fue descubierta por el equipo de seguridad de Tomcat, ellos detectaron que un atacante podría evitar los límites establecidos por el software.

En el CVE-2014-0096 se especifica la falla DoS, la cual podría permitir a una aplicación web maliciosa eludir los archivos de accesos establecidos por el administrador de seguridad mediante el uso de XML externos. La segunda falla se define en el CVE-2014-0119, podría permitir la misma situación, evitando los límites  establecidos en la identidad de XML externos, además de la visibilidad  del proceso de archivos XML para otras aplicaciones web desarrolladas en la misma instancia de Tomcat.

Los últimos detalles sobre la falla de divulgación de información se encuentra en el CVE-2014-0099, se centra en el código usado para analizar la longitud de la cabecera contenida en la petición. No verifica desbordamiento de búffer cuando ya todo se ha enviado, esto dio lugar a una vulnerabilidad que permite el contrabando de peticiones cuando el servidor web se encuentra detrás de un proxy inverso que está procesando correctamente la longitud de la cabecera contenida en la petición. La vulnerabilidad de contrabando de peticiones, cuando los datos son sometidos a un análisis incompleto como un sistema proxy, puede conducir a otros ataques como hijacking, envenenamiento de cache y XSS (cross-site scripting).

Aun que el error de divulgación de información fue descubierto en febrero, marzo y abril, no se hizo público hasta el día jueves, junto con el problema de denegación de servicios.

Las versiones vulnerables son 8.0.0-RC1 a 8.0.3, 7.0.0 a 7.0.52 y 6.0.0 a 6.0.39, se exhorta a los usuarios a actualizar sus sistemas para mitigar estos posibles problemas.