Apache Tomcat before 5.5.35, 6.x before 6.0.35, and 7.x before 7.0.23 computes hash values for form parameters without restricting the ability to trigger hash collisions predictably, which allows remote attackers to cause a denial of service (CPU consumption) by sending many crafted parameters.
下面截图来自洪教授的 PPT，但内容的具体来源不详了（尝试找了下，没找到），大家参考参考就好。
左边表示用不同的语言（框架）实现这种攻击所需要的带宽，右边是攻击的 cpu 目标。可以看出，实施这种攻击成本其实挺低的（后文石头的试验也佐证了这一点）。