Vulnerability Details : CVE-2009-1190
Potential exploit
Algorithmic complexity vulnerability in the java.util.regex.Pattern.compile method in Sun Java Development Kit (JDK) before 1.6, when used with spring.jar in SpringSource Spring Framework 1.1.0 through 2.5.6 and 3.0.0.M1 through 3.0.0.M2 and dm Server 1.0.0 through 1.0.2, allows remote attackers to cause a denial of service (CPU consumption) via serializable data with a long regex string containing multiple optional groups, a related issue to CVE-2004-2540.
Vulnerability category: Denial of service
Products affected by CVE-2009-1190
- cpe:2.3:a:sun:jdk:*:update_22:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.2.1:update3:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.2.2:update4:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.2.2:update5:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.8:update13:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.8:update7:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.8:update14:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.8:update8:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.2.0:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.0:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.0:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.0:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0_03:*:solaris:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0_03:*:windows:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update6:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update1:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update3:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update2:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update4:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update5:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update7:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update7_b03:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update8:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update9:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update10:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update11:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update12:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update13:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update14:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_12:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update15:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update11_b03:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update16:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_11:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_12:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_13:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_06:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_05:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.0_05:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.0_04:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_14:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.0_01:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_04:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_03:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.0_03:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.0_02:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.8:update10:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_24:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_23:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_21:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_28:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_14:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_13:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.0_01:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.0_04:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.1_06:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.1_05:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_5:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_6:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update22:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update23:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_7:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_6:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.2.1:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_19:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_20:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_25:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_16:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.0_02:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.1_04:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.1_03:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_7:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_8:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_21:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_20:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update21:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update20:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_2:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_9:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_8:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_14:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_15:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_10:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_10:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_09:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_02:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_01:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.7b:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.7b:update5:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.8:update2:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1:update20:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1:update19:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_16:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_17:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_18:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_11:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_1:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_18:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_19:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.0_03:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.1_07:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.1_02:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_3:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_4:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_11:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_12:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update19:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update25:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update17:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_5:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_16:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_17:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_15:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_08:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_07:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_01a:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.6:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.1.6:update7:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_22:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_26:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.3.1_27:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_13:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_15:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_17:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.1_01:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.1:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_1:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_2:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_9:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.4.2_10:*:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update18:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update24:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_4:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_3:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_18:*:*:*:*:*:*
- cpe:2.3:a:sun:jdk:1.5.0:update_19:*:*:*:*:*:*
Exploit prediction scoring system (EPSS) score for CVE-2009-1190
4.84%
Probability of exploitation activity in the next 30 days
EPSS Score History
~ 93 %
Percentile, the proportion of vulnerabilities that are scored at or less
CVSS scores for CVE-2009-1190
Base Score | Base Severity | CVSS Vector | Exploitability Score | Impact Score | Score Source | First Seen |
---|---|---|---|---|---|---|
5.0
|
MEDIUM | AV:N/AC:L/Au:N/C:N/I:N/A:P |
10.0
|
2.9
|
NIST |
CWE ids for CVE-2009-1190
-
Assigned by: nvd@nist.gov (Primary)
References for CVE-2009-1190
-
http://www.springsource.com/securityadvisory
VMware Tanzu product dependency advisories | VMware TanzuVendor Advisory
-
https://bugzilla.redhat.com/show_bug.cgi?id=497161
497161 – (CVE-2009-1190) CVE-2009-1190 Spring Framework Remote Denial of Service vulnerabilityExploit
-
http://www.packetstormsecurity.org/hitb06/DAY_1_-_Marc_Schoenefeld_-_Pentesting_Java_J2EE.pdf
Files ≈ Packet StormExploit
-
https://exchange.xforce.ibmcloud.com/vulnerabilities/50083
Spring Framework data denial of service CVE-2009-1190 Vulnerability Report
-
http://www.securityfocus.com/archive/1/502926/100/0/threaded
Jump to