Bulletin d'alerte Debian

DLA-3384-1 tomcat9 -- Mise à jour de sécurité pour LTS

Date du rapport :
5 avril 2023
Paquets concernés :
tomcat9
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 1033475.
Dans le dictionnaire CVE du Mitre : CVE-2022-42252, CVE-2023-28708.
Plus de précisions :

Plusieurs vulnérabilités de sécurité ont été découvertes dans le moteur de servlet et JSP Tomcat.

  • CVE-2022-42252

    Apache Tomcat a été configuré pour ignorer les en-têtes non valables à l’aide du réglage rejectIllegalHeader à false. Tomcat ne rejetait pas les requêtes contenant un en-tête Content-Length non valable, rendant une attaque par dissimulation de requête possible si Tomcat était situé derrière un mandataire inverse qui échouait à rejeter la requête avec l’en-tête non valable.

  • CVE-2023-28708

    Lors de l’utilisation de RemoteIpFilter avec des requêtes reçues d’un mandataire inverse à travers HTTP qui incluaient l’en-tête X-Forwarded-Proto réglé à https, les cookies de session créés par Apache Tomcat n’incluaient pas l’attribut de sécurité. Cela pouvait aboutir à ce que l’agent utilisateur transmette le cookie de session à travers un canal non sécurisé.

Pour Debian 10 Buster, ces problèmes ont été corrigés dans la version 9.0.31-1~deb10u8.

Nous vous recommandons de mettre à jour vos paquets tomcat9.

Pour disposer d'un état détaillé sur la sécurité de tomcat9, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/tomcat9.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.