CVE-2017-5664

El mecanismo de página de error en Java Servlet Specification requiere que, cuando ocurre un error y se configura una página de error para ese fallo que ha ocurrido, la petición original y la respuesta se envían a la página de error. Esto significa que la petición se presenta en la página de error con el método HTTP original. Si la página de error es un archivo estático, el comportamiento esperado es que sirva contenido del archivo como si estuviese procesando una petición GET, independientemente del método HTTP que se emplee realmente. El Servlet por defecto en Apache Tomcat 9.0.0.M1 a 9.0.0.M20, 8.5.0 a 8.5.14, 8.0.0.RC1 a 8.0.43 y 7.0.0 a 7.0.77 no hizo esto. Dependiendo de la petición original, esto podría conducir a resultados inesperados y no deseados para páginas estáticas de error incluyendo, si DefaultServlet se configura para permitir escrituras, el remplazo o eliminación de la página de error personalizada. Notas para otras páginas de error proporcionadas por el usuario: (1) A no se que se programe de otra forma, los JSPs ignoran el método HTTP. Los JSP empleados como páginas de error deben asegurarse de que gestionan cualquier envío de errores como petición GET, independientemente del método que se emplee realmente. (2) Por defecto, la respuesta que genera un Servlet depende del método HTTP. Los Servlets personalizados empleados como páginas de error deben asegurarse de que gestionan cualquier envío de errores como petición GET, independientemente del método que se emplee realmente.

A vulnerability was discovered in the error page mechanism in Tomcat's DefaultServlet implementation. A crafted HTTP request could cause undesired side effects, possibly including the removal or replacement of the custom error page.