Bulletin d'alerte Debian

DSA-1447-1 tomcat5.5 -- Plusieurs vulnérabilités

Date du rapport :
3 janvier 2008
Paquets concernés :
tomcat5.5
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2007-3382, CVE-2007-3385, CVE-2007-3386, CVE-2007-5342, CVE-2007-5461.
Plus de précisions :

Plusieurs vulnérabilités à distance ont été découvertes dans le moteur JSP et microserveur Tomcat. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants :

  • CVE-2007-3382

    On a découvert que les apostrophes (') dans les cookies étaient traitées comme des délimiteurs. Cela peut conduire à des fuites d'informations.

  • CVE-2007-3385

    On a découvert que la séquence de caractères \" dans les cookies n'était pas gérée correctement. Cela peut conduire à des fuites d'informations.

  • CVE-2007-3386

    On a découvert que le microserveur de gestion des hôtes ne réalisait pas de validation suffisante des entrées. Cela peut conduire à une attaque par script intersite.

  • CVE-2007-5342

    On a découvert que le composant de journalisation JULI ne restreignait pas son chemin de fichier cible. Cela engendre un possible déni de service via l'écrasement de fichiers.

  • CVE-2007-5461

    On a découvert que le microserveur WebDAV était vulnérable à des traversées de chemins de fichiers absolus.

L'ancienne distribution stable (Sarge) ne contient pas de paquet tomcat5.5.

Pour la distribution stable (Etch), ces problèmes ont été corrigés dans la version 5.5.20-2etch1.

Pour la distribution instable (Sid), ces problèmes seront corrigés prochainement.

Nous vous recommandons de mettre à jour vos paquets tomcat5.5.

Corrigé dans :

Debian GNU/Linux 4.0 (stable)

Source :
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20.orig.tar.gz
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch1.dsc
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch1.diff.gz
Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/t/tomcat5.5/libtomcat5.5-java_5.5.20-2etch1_all.deb
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5-webapps_5.5.20-2etch1_all.deb
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch1_all.deb
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5-admin_5.5.20-2etch1_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.