Bulletin d'alerte Debian

DSA-1453-1 tomcat5 -- Plusieurs vulnérabilités

Date du rapport :

7 janvier 2008

Paquets concernés :

tomcat5

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2007-3382, CVE-2007-3385, CVE-2007-5461.

Plus de précisions :

Plusieurs vulnérabilités à distance ont été découvertes dans le moteur JSP et microserveur Tomcat. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants :

CVE-2007-3382
On a découvert que les apostrophes (') dans les cookies étaient traitées comme des délimiteurs. Cela peut conduire à des fuites d'informations.
CVE-2007-3385
On a découvert que la séquence de caractères \" dans les cookies n'était pas gérée correctement. Cela peut conduire à des fuites d'informations.
CVE-2007-5461
On a découvert que le microserveur WebDAV était vulnérable à des traversées de chemins de fichiers absolus.

L'ancienne distribution stable (Sarge) ne contient pas de paquet tomcat5.

Pour la distribution stable (Etch), ces problèmes ont été corrigés dans la version 5.0.30-12etch1.

Pour la distribution instable (Sid) ne contient plus de paquet tomcat5.

Nous vous recommandons de mettre à jour vos paquets tomcat5.

Corrigé dans :

Debian GNU/Linux 4.0 (stable)

Source :: http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5_5.0.30-12etch1.diff.gz; http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5_5.0.30-12etch1.dsc; http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5_5.0.30.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5_5.0.30-12etch1_all.deb; http://security.debian.org/pool/updates/main/t/tomcat5/libtomcat5-java_5.0.30-12etch1_all.deb; http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5-admin_5.0.30-12etch1_all.deb; http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5-webapps_5.0.30-12etch1_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.