Avis du CERT-FR

Json

Objet : Vulnérabilité de Tomcat

Gestion du document

Référence	CERTA-2007-AVI-345
Titre	Vulnérabilité de Tomcat
Date de la première version	06 août 2007
Date de la dernière version	06 août 2007
Source(s)	Bulletin de sécurité du projet Tomcat

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance

Systèmes affectés

Tomcat, version 3.x.

Résumé

Une mauvaise gestion des messages d'erreur permet à un utilisateur malintentionné d'exécuter un code arbitraire à distance.

Description

Lorsque Tomcat retourne une page d'erreur, les entrées ayant provoqué l'erreur ne sont pas filtrées. Cela permet à un utilisateur malveillant de provoquer une injection de code indirecte (XSS, cross site scripting).

Des preuves de faisabilité existent sur l'Internet.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité du projet Tomcat
http://tomcat.apache.org/security-3.html
Référence CVE CVE-2007-3384
https://www.cve.org/CVERecord?id=CVE-2007-3384

Gestion détaillée du document

Date	Description
06 août 2007	version initiale.