Debians sikkerhedsbulletin
DSA-1447-1 tomcat5.5 -- flere sårbarheder
- Rapporteret den:
- 3. jan 2008
- Berørte pakker:
- tomcat5.5
- Sårbar:
- Ja
- Referencer i sikkerhedsdatabaser:
- I Mitres CVE-ordbog: CVE-2007-3382, CVE-2007-3385, CVE-2007-3386, CVE-2007-5342, CVE-2007-5461.
- Yderligere oplysninger:
-
Flere fjernudnytbare sårbarheder er opdaget i Tomcats servlet- og JSP-maskine. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:
- CVE-2007-3382
Man har opdaget at enkeltanførselstegn (') i cookier blev behandlet som skilletegn, hvilket kunne føre til en informationslækage.
- CVE-2007-3385
Man har opdaget at tegnsekvensen \" i cookier blev håndteret ukorrekt, hvilket kunne føre til en informationslækage.
- CVE-2007-3386
Man har opdaget at en host manager-servlet'en udførte utilstrækkelig kontrol af inddata, hvilket kunne føre til et angreb i forbindelse med udførelse af skripter på tværs af websteder (
cross-site scripting
). - CVE-2007-5342
Man har opdaget at JULI-logningskomponenten ikke opsatte begrænsninger på sin målsti, hvilket potentielt kunne medføre lammelsesangreb gennem filoverskrivninger.
- CVE-2007-5461
Man har opdaget at WebDAV-servlet'en var sårbar over for et absolut mappegennemløb.
Den gamle stabile distribution (sarge) indeholder ikke tomcat5.5.
I den stabile distribution (etch), er disse problemer rettet i version 5.5.20-2etch1.
I den ustabile distribution (sid) vil disse problemer snart blive rettet.
Vi anbefaler at du opgraderer dine tomcat5.5-pakker.
- CVE-2007-3382
- Rettet i:
-
Debian GNU/Linux 4.0 (stable)
- Kildekode:
- http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20.orig.tar.gz
- http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch1.dsc
- http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch1.diff.gz
- http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch1.dsc
- Arkitekturuafhængig komponent:
- http://security.debian.org/pool/updates/main/t/tomcat5.5/libtomcat5.5-java_5.5.20-2etch1_all.deb
- http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5-webapps_5.5.20-2etch1_all.deb
- http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch1_all.deb
- http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5-admin_5.5.20-2etch1_all.deb
- http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5-webapps_5.5.20-2etch1_all.deb
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.