Bulletin d'alerte Debian

DSA-2160-1 tomcat6 -- Plusieurs vulnérabilités

Date du rapport :
13 février 2011
Paquets concernés :
tomcat6
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 612257.
Dans le dictionnaire CVE du Mitre : CVE-2010-3718, CVE-2011-0013, CVE-2011-0534.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans la servlet Tomcat et le moteur JSP :

  • CVE-2010-3718

    Une restriction insuffisante du répertoire de travail par le gestionnaire de sécurité (SecurityManager) a été découverte.

  • CVE-2011-0013

    Un script intersite affectant l'interface du gestionnaire HTML a été découvert.

  • CVE-2011-0534

    Une validation insuffisante des en-têtes HTTP réalisée par le connecteur NIO a été découverte, pouvant permettre un déni de service.

L'ancienne distribution stable (Lenny) n'est pas concernée par ces problèmes.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 6.0.28-9+squeeze1.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 6.0.28-10.

Nous vous recommandons de mettre à jour vos paquets tomcat6.