Debians sikkerhedsbulletin

DSA-2897-1 tomcat7 -- sikkerhedsopdatering

Rapporteret den:
8. apr 2014
Berørte pakker:
tomcat7
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Mitres CVE-ordbog: CVE-2013-2067, CVE-2013-2071, CVE-2013-4286, CVE-2013-4322, CVE-2014-0050.
Yderligere oplysninger:

Flere sikkerhedsproblemer blev fundet i Tomcat-servlet'en og JSP-motoren:

  • CVE-2013-2067

    FORM-autentifikation forbinder den seneste forespørgsel, som kræver autentifikation, med den aktuelle session. Ved at sende gentagne forespørgsler til en autentificeret ressource, men offeret er ved at udfylde loginformularen, kunne en angriber indsprøjte en forespørgsel, som blev udført med offerets brugerrettigheder.

  • CVE-2013-2071

    En exception på kørselstidspunktet i AsyncListener.onComplete(), forhindrede forespørgslen i at blive genbrugt. Det kunne udstille elementer fra en tidligere forespørgsel til den aktuelle.

  • CVE-2013-4286

    Afvisning af forespørgsler med flere content-length-headere eller med en content-length-header, når chunked encoding anvendes.

  • CVE-2013-4322

    Ved behandling af en forespørgsel indsendt ved hjælp af chunked transfer-encoding, ignorerede Tomcat den, men begrænsede ikke nogen indeholdte udvidelser. Dermed var det muligt for en klient at iværksætte et begrænset lammelsesangreb (denial of service), ved at streame en ubegrænset datamængde til serveren.

  • CVE-2014-0050

    Multipart-forespørgsler med en misdannet Content-Type-header, kunne udløse en uendelig løkke, forårsagende et lammelsesangreb.

I den stabile distribution (wheezy), er disse problemer rettet i version 7.0.28-4+deb7u1.

I distributionen testing (jessie), er disse problemer rettet i version 7.0.52-1.

I den ustabile distribution (sid), er disse problemer rettet i version 7.0.52-1.

Vi anbefaler at du opgraderer dine tomcat7-pakker.