之前你可能聽(tīng)說(shuō)過(guò)關(guān)于 Java 中的哈希表實(shí)現(xiàn)上的漏洞，現(xiàn)如今因?yàn)?Tomcat 使用了哈希表來(lái)存儲(chǔ) HTTP 請(qǐng)求參數(shù)，因此也受此問(wèn)題影響。目前為止，Oracle 尚未為該問(wèn)題提供補(bǔ)丁。

[[54832]]

為此 Tomcat 實(shí)現(xiàn)了一個(gè)變通的做法，提供一個(gè)新的選項(xiàng) maxParameterCount 用來(lái)限制但請(qǐng)求中***的參數(shù)數(shù)量，該參數(shù)默認(rèn)值是 10000，這對(duì)多數(shù)應(yīng)用程序來(lái)說(shuō)已經(jīng)足夠，這個(gè)值也足夠用來(lái)繞過(guò) JRE 中的哈希表的 bug。

目前該變通方法將會(huì)在以下版本中實(shí)現(xiàn)：

trunk

7.0.23 onwards

6.0.35 onwards

該方法也將在即將發(fā)布的 5.5.35 版本中實(shí)現(xiàn)。

如果你正在使用早期的 Tomcat 版本，沒(méi)有 maxParameterCount 屬性，那么可以通過(guò)限制 maxPostSize 到 10kb 以下來(lái)解決這個(gè)問(wèn)題。

盡管這不是 Tomcat 本身的bug，但 Tomcat 安全團(tuán)隊(duì)還是發(fā)布了該消息并告知潛在的問(wèn)題。

關(guān)于此漏洞的更詳細(xì)信息請(qǐng)看：

http://www.nruns.com/_downloads/advisory28122011.pdf

原文鏈接：http://www.oschina.net/news/24418/tomcat-hashtable-collision-dos-vulnerability

【編輯推薦】

1. 將Eclipse RAP部署到Tomcat中
2. Tomcat運(yùn)行Java Web內(nèi)存溢出總結(jié)
3. 淺析Tomcat NIO 配置
4. Apache Tomcat 6.0.35 發(fā)布 附下載
5. Hudson+Ant+SVN+Tomcat配置詳解