Apachen Tomcat 4.0.x-versioista on vahvistettu löytyneen tietoturva-aukko, jonka kautta on mahdollista palauttaa, ilman kunnollista käyttäjätunnistusta, tietyllä tavalla muotoillun URL-osoitteen avulla JSP-sivun suorittamatonta koodia, tai, tietyissä olosuhteissa, staattisia resursseja jotka muutoin olisivat suojattuja turvakeinoin. Tämä on muunnos aiemmin tunnistetusta CAN-2002-1148 -raportissa mainitusta hyväksikäytöstä.
Ongelma on korjattu nykyisen vakaan jakelun (woody) versiossa 4.0.3-3woody2 .
Aiempi vakaa jakelu (potato) ei sisällä tomcat-paketteja.
Epävakaan jakelun (sid) nykyinen versio 4.1.16-1 ei ole altis tälle ongelmalle.
Suosittelemme päivittämään tomcat-paketit.
Listattujen tiedostojen MD5-tarkistussummat ovat luettavissa alkuperäisestä tiedotteesta.