Se ha confirmado una vulnerabilidad que existía en las versiones de Apache Tomcat 4.0.x, que permitía usar una URL especialmente modificada para devolver los fuentes no procesados de una página JSP, o, bajo ciertas circunstancias, un recurso estático que debería estar protegido por una restricción de seguridad, sin necesidad de estar adecuadamente autentificado. Esto se basa en una variante de la explotación que se identificó en CAN-2002-1148.
Para la distribución estable actual (woody), este problema se ha corregido en la versión 4.0.3-3woody2.
La distribución estable anterior (potato) no contenía los paquetes de tomcat.
Para la distribución inestable (sid), este problema no existía en la versión actual 4.1.16-1.
Le recomendamos que actualice los paquetes de tomcat.
Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.