Debian セキュリティ勧告

DSA-246-1 tomcat -- 情報の暴露・クロスサイトスクリプティング

報告日時:

2003-01-29

影響を受けるパッケージ:

tomcat

危険性:

あり

参考セキュリティデータベース:

Mitre の CVE 辞書: CVE-2003-0042, CVE-2003-0043, CVE-2003-0044.

詳細:

tomcat の開発者たちは、tomcat バージョン 3.x に複数の問題を発見しました。 The Common Vulnerabilities and Exposures プロジェクトは、以下の問題を把握しています。

CAN-2003-0042: 悪意をもって作られたリクエストにより、index.html、 index.jsp などの welcome ファイルが存在する場合にも、ディレクトリリストを返させることができます。ファイルの内容を返させることも同様に可能です。
CAN-2003-0043: 悪意あるウェブアプリケーションにより、セキュリティマネージャが存在する場合でも、そのウェブアプリケーション外の一部のファイルの内容を web.xml 経由で読むことができます。 XML ドキュメントの一部として読めるファイル内容にアクセスすることが可能です。
CAN-2003-0044: 添付のサンプルウェブアプリケースションに、クロスサイトスクリプティング脆弱性が発見されました。この問題により、リモートの攻撃者は任意のスクリプトコードを実行することができます。

現安定版 (stable) (woody) では、これらの問題はバージョン 3.3a-4woody.1 で修正されています。

旧安定版 (potato) には、tomcat パッケージは含まれていません。

不安定版 (unstable) (sid) では、これらの問題はバージョン 3.3.1a-1 で修正されています。

tomcat パッケージをアップグレードすることをお勧めします。

修正:

ソース:: http://security.debian.org/pool/updates/contrib/t/tomcat/tomcat_3.3a-4woody1.dsc; http://security.debian.org/pool/updates/contrib/t/tomcat/tomcat_3.3a-4woody1.diff.gz; http://security.debian.org/pool/updates/contrib/t/tomcat/tomcat_3.3a.orig.tar.gz
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/contrib/t/tomcat/tomcat_3.3a-4woody1_all.deb
Intel IA-32:: http://security.debian.org/pool/updates/contrib/t/tomcat/libapache-mod-jk_3.3a-4woody1_i386.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。