Debian-Sicherheitsankündigung

DSA-246-1 tomcat -- Informationsenthüllung, Site-übergreifendes Skripting

Datum des Berichts:
29. Jan 2003
Betroffene Pakete:
tomcat
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In Mitres CVE-Verzeichnis: CVE-2003-0042, CVE-2003-0043, CVE-2003-0044.
Weitere Informationen:

Die Entwickler von tomcat entdeckten mehrere Probleme in der Version 3.x von tomcat. Das Common Vulnerabilities and Exposures Projekt identifiziert die folgenden Probleme:

  • CAN-2003-0042: Eine böswillig erstellte Anfrage könnte einen Verzeichnisindex zurückliefern, selbst wenn eine index.html, index.jsp oder andere welcome-Datei vorhanden ist. Datei-Inhalte können ebenfalls zurückgeliefert werden.
  • CAN-2003-0043: Eine böswillige Web-Anwendung könnte den Inhalt einiger Dateien außerhalb der Web-Anwendung über ihre web.xml-Datei lesen, trotz Vorhandensein eines Sicherheitsmanagers. Der Inhalt von Dateien, die als Teil eines XML-Dokuments gelesen werden können, wären zugänglich.
  • CAN-2003-0044: Eine Site-übergreifende Skripting-Verwundbarkeit wurde in der enthaltenen Beispiels-Web-Anwendung entdeckt, die es entfernten Angreifern erlaubt, willkürlichen Skript-Code auszuführen.

Für die stable Distribution (Woody) wurde dieses Problem in Version 3.3a-4woody.1 behoben.

Die alte stable Distribution (Potato) enthält keine tomcat-Pakete.

Für die unstable Distribution (Sid) wurde dieses Problem in Version 3.3.1a-1 behoben.

Wir empfehlen Ihnen, Ihr tomcat-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.0 (woody)

Quellcode:
http://security.debian.org/pool/updates/contrib/t/tomcat/tomcat_3.3a-4woody1.dsc
http://security.debian.org/pool/updates/contrib/t/tomcat/tomcat_3.3a-4woody1.diff.gz
http://security.debian.org/pool/updates/contrib/t/tomcat/tomcat_3.3a.orig.tar.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/contrib/t/tomcat/tomcat_3.3a-4woody1_all.deb
Intel IA-32:
http://security.debian.org/pool/updates/contrib/t/tomcat/libapache-mod-jk_3.3a-4woody1_i386.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.