Plusieurs vulnérabilités à distance ont été découvertes dans le moteur JSP et microserveur Tomcat. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants :
On a découvert que les apostrophes (') dans les cookies étaient traitées comme des délimiteurs. Cela peut conduire à des fuites d'informations.
On a découvert que la séquence de caractères \" dans les cookies n'était pas gérée correctement. Cela peut conduire à des fuites d'informations.
On a découvert que le microserveur de gestion des hôtes ne réalisait pas de validation suffisante des entrées. Cela peut conduire à une attaque par script intersite.
On a découvert que le composant de journalisation JULI ne restreignait pas son chemin de fichier cible. Cela engendre un possible déni de service via l'écrasement de fichiers.
On a découvert que le microserveur WebDAV était vulnérable à des traversées de chemins de fichiers absolus.
L'ancienne distribution stable (Sarge) ne contient pas de paquet tomcat5.5.
Pour la distribution stable (Etch), ces problèmes ont été corrigés dans la version 5.5.20-2etch1.
Pour la distribution instable (Sid), ces problèmes seront corrigés prochainement.
Nous vous recommandons de mettre à jour vos paquets tomcat5.5.
Les hachés MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.