Es wurde bestätigt, dass eine Sicherheits-Verwundbarkeit in Apache Tomcat 4.0.x Releases existiert, die es unter Verwendung einer speziell erstellten URL erlaubt, nicht-ausgeführten Quellcode einer JSP-Seite zurückzuliefern, oder, unter speziellen Umständen, eine statische Ressource zurückliefert, die auf der anderen Seite von einer Sicherheitsbedingung geschützt sein würde, ohne dass man sich ordentlich anmelden muss. Dies basiert auf einer Variante der Ausnutzung, die als CAN-2002-1148 identifiziert wurde.
Für die aktuelle stable Distribution (Woody) wurde dieses Problem in Version 4.0.3-3woody2 behoben.
Die alte stable Distribution (Potato) enthält keine tomcat-Pakete.
In der unstable Distribution (Sid) existiert dieses Problem nicht in der aktuellen Version 4.1.16-1.
Wir empfehlen Ihnen, Ihre tomcat-Pakete zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.