Apache爆HashTable碰撞拒絕服務漏洞，Java、PHP、Asp.Net及v8引擎等都受影響

        Apache Tomcat 團隊近日發布了一個安全公告，提示用戶注意一個 Java 哈希表（HashTable）中的拒絕服務漏洞。

        這一漏洞名為 Denial of Service through hash table multi-collisions（通過對哈希表使用多碰撞技術實現拒絕服務），已由安全研究公司N.runs 發布。目前，除 Java 外，PHP5、Asp.Net 以及 Java v8 引擎中都存在該漏洞；PHP4、Python 及 Ruby 則因版本不同或可能受影響，取決于服務器代碼運行于 32 位或 64 位機器。Perl 及 CRuby 1.9 不受其影響。

        Apache Tomcat 表示，由于 Tomcat 中使用了哈希表來存儲 HTTP 請求參數，因此將受該漏洞影響。鑒于 Oracle 表態不會在 JRE 中對該漏洞進行修復（但將提供一個新的 GlassFish 服務器版本），因此 Apache 提供了一個變通方案。

        Apache 的方案是在 Tomcat 中增加一個新的選項 maxParameterCount，用來限制單個請求中的最大參數量。參數默認值設為 10000，確保既不會對應用程序造成影響（對多數應用來說已經足夠），也足以減輕 DoS 攻擊的壓力。

        目前，這一解決方法在 Tomcat 7.0.23 和6.0.35版本中業已實現；即將發布的5.5.35中也會應用這一方案。另外，Tomcat 表示，若使用早期版本的 Tomcat，可以通過限制 maxPostSize 大小為 10KB 左右來解決此問題。

        關于此漏洞的詳細信息：http://www.nruns.com/_downloads/advisory28122011.pdf。