NVD Vulnerability Detail
Search Exploit, PoC
CVE-2009-1890
Summary

The stream_reqbody_cl function in mod_proxy_http.c in the mod_proxy module in the Apache HTTP Server before 2.3.3, when a reverse proxy is configured, does not properly handle an amount of streamed data that exceeds the Content-Length value, which allows remote attackers to cause a denial of service (CPU consumption) via crafted requests.

Summary

La función stream_reqbody_cl de mod_proxy_http.c en el módulo mod_proxy del Servidor HTTP de Apache anterior a v2.3.3, cuando está configurado un proxy inverso, no maneja adecuadamente un flujo de datos que exceda el valor de Content-Length (Longitud del Contenido), esto permite a atacantes remotos provocar una denegación de servicio (consumo de la CPU) a través de una solicitud manipulada.

Publication Date July 6, 2009, 1:30 a.m.
Registration Date Jan. 29, 2021, 1:18 p.m.
Last Update April 23, 2026, 9:35 a.m.
CVSS2.0 : HIGH
Score 7.1
Vector AV:N/AC:M/Au:N/C:N/I:N/A:C
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 中
攻撃前の認証要否(Au) 不要
機密性への影響(C) なし
完全性への影響(I) なし
可用性への影響(A) 高
Get all privileges. いいえ
Get user privileges いいえ
Get other privileges いいえ
User operation required いいえ
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:apache:http_server:*:*:*:*:*:*:*:* 2.2.0 2.2.12
cpe:2.3:o:fedoraproject:fedora:11:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:4.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:5.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:6.0:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:6.06:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:8.04:*:*:*:-:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:8.10:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:9.04:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_desktop:5.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_eus:5.3:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server:5.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_aus:5.3:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_workstation:5.0:*:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
Apache HTTP Server の mod_proxy におけるサービス運用妨害 (DoS) の脆弱性
Title Apache HTTP Server の mod_proxy におけるサービス運用妨害 (DoS) の脆弱性
Summary

Apache HTTP Server の mod_proxy モジュールにある stream_reqbody_cl 関数には、リバースプロキシが設定されている場合に、Content-Length 値を超えるストリームデータ量を適切に処理しないため、サービス運用妨害 (DoS) 状態となる脆弱性が存在します。

Possible impacts 第三者による巧妙に細工されたリクエストにより、サービス運用妨害 (DoS) 状態にされる可能性があります。
Solution

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date July 5, 2009, midnight
Registration Date Aug. 14, 2009, 11:04 a.m.
Last Update April 19, 2013, 3:08 p.m.
Affected System
レッドハット
Red Hat Application Stack v2
Red Hat Enterprise Linux 5 (server)
Red Hat Enterprise Linux Desktop 5.0 (client)
Red Hat Enterprise Linux EUS 5.3.z (server)
RHEL Desktop Workstation 5 (client)
ヒューレット・パッカード
HP-UX 11.11
HP-UX 11.23
HP-UX 11.31
HP-UX Apache-based Web Server v.2.2.15.03 未満
Apache Software Foundation
Apache HTTP Server 2.3.3 未満
オラクル
OpenSolaris 
Oracle HTTP Server 
IBM
IBM HTTP Server 7.0
IBM WebSphere Application Server 7.0
ターボリナックス
Turbolinux Appliance Server 3.0
Turbolinux Appliance Server 3.0 (x64)
Turbolinux Client 2008
Turbolinux Server 11
Turbolinux Server 11 (x64)
サイバートラスト株式会社
Asianux Server 3 (x86)
Asianux Server 3 (x86-64)
アップル
Apple Mac OS X v10.5.8
Apple Mac OS X v10.6
Apple Mac OS X v10.6.1
Apple Mac OS X Server v10.5.8
Apple Mac OS X Server v10.6
Apple Mac OS X Server v10.6.1
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
0 [2009年08月14日]
  掲載
[2009年09月30日]
  影響を受けるシステム：IBM (4023947) の情報を追加
  ベンダ情報：IBM (4023947) を追加
[2009年11月11日]
  影響を受けるシステム：アップル (HT3937) の情報を追加
  ベンダ情報：IBM (PK91259) を追加
  ベンダ情報：アップル (HT3937) を追加
[2009年12月25日]
  影響を受けるシステム：IBM (7014463) の情報を追加
  ベンダ情報：IBM (7014463) を追加
  ベンダ情報：IBM (7014506) を追加
[2010年10月28日]
  影響を受けるシステム：オラクル (multiple_vulnerabilities_in_the_apache) の情報を追加
  ベンダ情報：オラクル (multiple_vulnerabilities_in_the_apache) を追加
[2010年12月15日]
  影響を受けるシステム：ヒューレット・パッカード (HPUXWSATW313) の情報を追加
  影響を受けるシステム：ヒューレット・パッカード (HPSBUX02612) の情報を追加
  ベンダ情報：ヒューレット・パッカード (HPUXWSATW313) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBUX02612) を追加
[2013年04月19日]
  影響を受けるシステム：オラクル (Oracle Critical Patch Update Advisory - April 2013) の情報を追加
  ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - April 2013) を追加
  ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - April 2013 Risk Matrices) を追加
  ベンダ情報：オラクル (April 2013 Critical Patch Update Released) を追加		 Feb. 17, 2018, 10:37 a.m.