Debians sikkerhedsbulletin

DSA-1468-1 tomcat5.5 -- flere sårbarheder

Rapporteret den:
20. jan 2008
Berørte pakker:
tomcat5.5
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Mitres CVE-ordbog: CVE-2008-0128, CVE-2007-2450.
Yderligere oplysninger:

Flere fjernudnytbare sårbarheder er opdaget i Tomcats servlet- og JSP-maskine. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:

  • CVE-2008-0128

    Olaf Kock opdagede at HTTPS-kryptering blev håndhævet på utilstrækkelig vis hvad angår single-sign-on-cookies, hvilket kunne medføre informationsafsløring.

  • CVE-2007-2450

    Man opdagede at webapplikationerne Manager og Host Manager udførte utilstrækkelig fornuftighedskontrol, hvilket kunne føre til udførelse af skripter på tværs af websteder.

Denne opdatering tilpasser også pakken tomcat5.5-webapps til de strammede JULI-rettigheder indført i de tidligere tomcat5.5-DSA'er. Bemærk dog at tomcat5.5-webapps kun er beregnet til demonstrerings- og dokumenteringsformål, og ikke bør anvendes på produktionssystemer.

Den gamle stabile distribution (sarge) indeholder ikke tomcat5.5.

I den stabile distribution (etch), er disse problemer rettet i version 5.5.20-2etch2.

I den ustabile distribution (sid), vil disse problemer snart blive rettet.

Vi anbefaler at du opgraderer dine tomcat5.5-pakker.

Rettet i:

Debian GNU/Linux 4.0 (stable)

Kildekode:
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20.orig.tar.gz
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch2.diff.gz
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch2.dsc
Arkitekturuafhængig komponent:
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5-admin_5.5.20-2etch2_all.deb
http://security.debian.org/pool/updates/main/t/tomcat5.5/libtomcat5.5-java_5.5.20-2etch2_all.deb
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch2_all.deb
http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5-webapps_5.5.20-2etch2_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.