Avis du CERT-FR
Objet : Vulnérabilités dans Apache Tomcat
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Injection de code indirecte à distance
Systèmes affectés
- Apache Tomcat 6.0.12 à 6.0.29.
- Apache Tomcat 7.0.0 à 7.0.4 ;
Résumé
Des vulnérabilités ont été découvertes dans Apache Tomcat. Elles permettent à un utilisateur de faire de l'injection de code indirecte à distance.
Description
Apache Tomcat n'assainit pas correctement les entrées passées via les paramètres short et order by dans sessionsList.jsp. Cette vulnérabilité peut être exploitée par un utilisateur pour faire de l'injection de code indirecte à distance.
Solution
Les versions corrigées sont disponibles sur le serveur subversion de Apache, en attendant la sortie des versions 7.0.5 et 6.0.30. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Liste des vulnérabilités affectant Apache Tomcat 6 :
http://tomcat.apache.org/security-6.html -
Liste des vulnérabilités affectant Apache Tomcat 7 :
http://tomcat.apache.org/security-7.html -
Référence CVE CVE-2010-4172
https://www.cve.org/CVERecord?id=CVE-2010-4172
Gestion détaillée du document
| Date | Description |
|---|---|
| 29 novembre 2010 | version initiale. |