Avis du CERT-FR
Objet : Vulnérabilité de Tomcat
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
Apache Tomcat, versions 4.0.x, 4.1.x, 5.0.x, 5.5.x, 6.0.x
Résumé
Une vulnérabilité dans les applications d'administration de Tomcat et dans des exemples d'application permet d'exécuter du code à distance sur les postes des utilisateurs.
Description
Une vulnérabilité est présente dans des fichiers JSP d'exemples d'application et dans les applications d'administration de Tomcat, Manager et Host Manager. Le manque de filtrage des données entrées permet de réaliser des injections de code indirectes (cross-site scripting). Le code est exécuté sur le poste de l'utilisateur connecté à l'application vulnérable, avec les droits octroyés au site.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Apache Tomcat :
http://www.apache.org/security-5.html -
Bulletin de sécurité Apache Tomcat :
http://www.apache.org/security-4.html -
Bulletin de sécurité Apache Tomcat :
http://www.apache.org/security-6.html -
Référence CVE CVE-2007-2449
https://www.cve.org/CVERecord?id=CVE-2007-2449 -
Référence CVE CVE-2007-2450
https://www.cve.org/CVERecord?id=CVE-2007-2450
Gestion détaillée du document
| Date | Description |
|---|---|
| 18 juin 2007 | version initiale. |