Debians sikkerhedsbulletin

DSA-1468-1 tomcat5.5 -- flere sårbarheder

Rapporteret den:

20. jan 2008

Berørte pakker:

tomcat5.5

Sårbar:

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2008-0128, CVE-2007-2450.

Yderligere oplysninger:

Flere fjernudnytbare sårbarheder er opdaget i Tomcats servlet- og JSP-maskine. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:

CVE-2008-0128
Olaf Kock opdagede at HTTPS-kryptering blev håndhævet på utilstrækkelig vis hvad angår single-sign-on-cookies, hvilket kunne medføre informationsafsløring.
CVE-2007-2450
Man opdagede at webapplikationerne Manager og Host Manager udførte utilstrækkelig fornuftighedskontrol, hvilket kunne føre til udførelse af skripter på tværs af websteder.

Denne opdatering tilpasser også pakken tomcat5.5-webapps til de strammede JULI-rettigheder indført i de tidligere tomcat5.5-DSA'er. Bemærk dog at tomcat5.5-webapps kun er beregnet til demonstrerings- og dokumenteringsformål, og ikke bør anvendes på produktionssystemer.

Den gamle stabile distribution (sarge) indeholder ikke tomcat5.5.

I den stabile distribution (etch), er disse problemer rettet i version 5.5.20-2etch2.

I den ustabile distribution (sid), vil disse problemer snart blive rettet.

Vi anbefaler at du opgraderer dine tomcat5.5-pakker.

Rettet i:

Debian GNU/Linux 4.0 (stable)

Kildekode:: http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20.orig.tar.gz; http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch2.diff.gz; http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch2.dsc
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5-admin_5.5.20-2etch2_all.deb; http://security.debian.org/pool/updates/main/t/tomcat5.5/libtomcat5.5-java_5.5.20-2etch2_all.deb; http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5_5.5.20-2etch2_all.deb; http://security.debian.org/pool/updates/main/t/tomcat5.5/tomcat5.5-webapps_5.5.20-2etch2_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.