Säkerhetsbulletin från Debian

DSA-2897-1 tomcat7 -- säkerhetsuppdatering

Rapporterat den:
2014-04-08
Berörda paket:
tomcat7
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Mitres CVE-förteckning: CVE-2013-2067, CVE-2013-2071, CVE-2013-4286, CVE-2013-4322, CVE-2014-0050.
Ytterligare information:

Flera säkerhetsproblem har upptäckts i Tomcat-servleten och JSP-motorn:

  • CVE-2013-2067

    FORM-autentisering associerar den senaste förfrågan som kräver autentisering med den nuvarande sessionen. Genom att skicka en förfrågan upprepade gånger för en autentiserad resurs medan offret arbetar med inloggningsformuläret kan en angripare injicera en förfrågan som använder sig av offrets användarrättigheter.

  • CVE-2013-2071

    En exception vid körning i AsyncListener.onComplete() förhindrar förfrågan från att återanvändas.Det kan avslöja element från en tidigare förfrågan till en nuvarande förfrågan.

  • CVE-2013-4286

    Avvisning av förfrågningar med flera content-length-rubriker eller med en rubrik när chunked encoding används.

  • CVE-2013-4322

    Vid behandling av en förfrågan som skickats med hjälp av chunked transfer-kodning ignorerade Tomcat alla utökningar som inkluderades men begränsade dom inte. Detta tillåter en klient att utöva en begränsad överbelastning genom att strömma en obegränsad mängd data till servern.

  • CVE-2014-0050

    Flerdelade förfrågningar med en felaktigt formatera Content-Type header kunde trigga en oändlig loop vilket orsakar en överbelastning.

För den stabila utgåvan (Wheezy) har dessa problem rättats i version 7.0.28-4+deb7u1.

För uttestningsutgåvan (Jessie) har dessa problem rättats i version 7.0.52-1.

För den instabila utgåvan (Sid) har dessa problem rättats i version 7.0.52-1.

Vi rekommenderar att ni uppgraderar era tomcat7-paket.