Debians sikkerhedsbulletin

DSA-1453-1 tomcat5 -- flere sårbarheder

Rapporteret den:

7. jan 2008

Berørte pakker:

tomcat5

Sårbar:

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2007-3382, CVE-2007-3385, CVE-2007-5461.

Yderligere oplysninger:

Flere fjernudnytbare sårbarheder er opdaget i Tomcats servlet- og JSP-maskine. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:

CVE-2007-3382
Man har opdaget at enkeltanførselstegn (') i cookier blev behandlet som skilletegn, hvilket kunne føre til en informationslækage.
CVE-2007-3385
Man har opdaget at tegnsekvensen \" i cookier blev håndteret ukorrekt, hvilket kunne føre til en informationslækage.
CVE-2007-5461
Man har opdaget at WebDAV-servlet'en var sårbar over for et absolut mappegennemløb.

Den gamle stabile distribution (sarge) doesn't contain tomcat5.

I den stabile distribution (etch), er disse problemer rettet i version 5.0.30-12etch1.

Den ustabile distribution (sid) indeholder ikke længere tomcat5.

Vi anbefaler at du opgraderer dine tomcat5-pakker.

Rettet i:

Debian GNU/Linux 4.0 (stable)

Kildekode:: http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5_5.0.30-12etch1.diff.gz; http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5_5.0.30-12etch1.dsc; http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5_5.0.30.orig.tar.gz
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5_5.0.30-12etch1_all.deb; http://security.debian.org/pool/updates/main/t/tomcat5/libtomcat5-java_5.0.30-12etch1_all.deb; http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5-admin_5.0.30-12etch1_all.deb; http://security.debian.org/pool/updates/main/t/tomcat5/tomcat5-webapps_5.0.30-12etch1_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.