Подтверждено наличие уязвимого места в выпусках Apache Tomcat версий 4.0.x, позволяющего использовать особым образом составленный URL для того, чтобы получить, не имея соответствующих привилегий, необработанный исходный текст страницы JSP, или, при особых условиях, статический ресурс, который в противном случае должен быть защищён системой безопасности. Атака основана на вариации метода, идентифицированного в CAN-2002-1148.
В текущем стабильном дистрибутиве (woody) эта проблема исправлена в версии 4.0.3-3woody2.
Старый стабильный дистрибутив (potato) не содержит пакетов tomcat.
В нестабильном дистрибутиве (sid), в пакетах tomcat версии 4.1.16-1, эта проблема отсутствует.
Мы рекомендуем вам обновить пакеты tomcat.
Контрольные суммы MD5 этих файлов доступны в исходном сообщении.