Avis du CERT-FR
Objet : Multiples vulnérabilités de Apache Tomcat
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Déni de service à distance
- Injection de code indirecte
Systèmes affectés
- Apache Tomcat versions 4.1.39 et antérieures ;
- Apache Tomcat versions 5.5.27 et antérieures ;
- Apache Tomcat versions 6.0.18 et antérieures.
Résumé
Plusieurs vulnérabilités présentes dans Apache Tomcat permettent à un utilisateur distant de provoquer un déni de service et de porter atteinte à la confidentialité et à l'intégrité des données.
Description
Plusieurs vulnérabilités sont présentes dans Apache Tomcat :
- la première est relative à une erreur dans le traitement de certains en-têtes HTTP par le composant AJP Connector. Elle permet à un utilisateur distant de provoquer un déni de service ;
- la deuxième concerne certaines fonctionnalités d'authentification et permet à un personne distante d'obtenir des identifiants valides d'utilisateur via des requêtes particulières ;
- la troisième est relative à la gestion des fichiers web.xml et tld qui peuvent être modifiés par une application particulière dans une autre application si celles-ci sont dans la même instance de Tomcat ;
- la quatrième est due à une vulnérabilité dans le RequestDispatcher et permet à un utilisateur malintentionné d'accéder à des données sensibles ;
- la dernière est due à une erreur dans le calendrier permettant de réaliser une attaque par injection de code indirecte.
Solution
Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité HP-UX du 21 octobre 2009 :
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c01908935 -
Bulletins de sécurité Tomcat :
http://tomcat.apache.org/security-5.html -
Bulletins de sécurité Tomcat :
http://tomcat.apache.org/security-6.html -
Bulletins de sécurité Tomcat :
http://tomcat.apache.org/security-4.html -
Bulletins de sécurité Tomcat du 03 juin 2009 :
http://marc.info/?l=tomcat-user&m=124404378413736&w=2 -
Bulletins de sécurité Tomcat du 03 juin 2009 :
http://marc.info/?l=tomcat-user&m=124404378913734&w=2 -
Bulletins de sécurité Tomcat du 03 juin 2009 :
http://marc.info/?l=tomcat-user&m=124412001618125&w=2 -
Référence CVE CVE-2008-5515
https://www.cve.org/CVERecord?id=CVE-2008-5515 -
Référence CVE CVE-2009-0033
https://www.cve.org/CVERecord?id=CVE-2009-0033 -
Référence CVE CVE-2009-0580
https://www.cve.org/CVERecord?id=CVE-2009-0580 -
Référence CVE CVE-2009-0781
https://www.cve.org/CVERecord?id=CVE-2009-0781 -
Référence CVE CVE-2009-0783
https://www.cve.org/CVERecord?id=CVE-2009-0783
Gestion détaillée du document
| Date | Description |
|---|---|
| 08 juin 2009 | version initiale ; |
| 27 octobre 2009 | ajout de référence CVE et du bulletin HP-UX. |