Avis du CERT-FR

Json

Objet : Vulnérabilités dans Apache Tomcat

Gestion du document

Référence	CERTA-2011-AVI-454
Titre	Vulnérabilités dans Apache Tomcat
Date de la première version	16 août 2011
Date de la dernière version	16 août 2011
Source(s)	http://tomcat.apache.org/security-7.html

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité

Systèmes affectés

Apache Tomcat 5.5.0-5.5.33.
Apache Tomcat 6.0.0-6.0.32 ;
Apache Tomcat 7.0.0-7.0.19 ;

Résumé

De multiples vulnérabilités présentes dans le produit Apache Tomcat ont été corrigées. Elles permettent la divulgation de mots de passe utilisateur, l'altération de fichiers de configuration et le contournement de la politique de sécurité.

Description

De multiples vulnérabilités présentes dans le produit Apache Tomcat ont été corrigées. Ces vulnérabilités permettent la divulgation et/ou l'altération d'information. Il convient néanmoins de détailler les informations à risque :

contournement de la politique de sécurité permettant l'accès à des fichiers protégés du super-utilisateur (root) (CVE-2011-2729, CVE-2011-2526) ;
divulgation du mot de passe de l'utilisateur (CVE-2011-2204) ;
divulgation (et/ou modification) des fichiers web.xml, context.xml et fichiers tld d'autres applications web de l'instance Apache Tomcat (CVE-2011-2481).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Il est important de noter, que suivant la documentation de l'éditeur (http://tomcat.apache.org/security-5.html), les mises à jour ne sont pas encore disponibles pour les versions 5.X de Apache Tomcat. Celles-ci seront disponibles lors de la publication de la version 5.5.34 de Apache Tomcat (à paraitre).

Documentation

Référence CVE CVE-2011-2204
https://www.cve.org/CVERecord?id=CVE-2011-2204
Référence CVE CVE-2011-2481
https://www.cve.org/CVERecord?id=CVE-2011-2481
Référence CVE CVE-2011-2526
https://www.cve.org/CVERecord?id=CVE-2011-2526
Référence CVE CVE-2011-2729
https://www.cve.org/CVERecord?id=CVE-2011-2729

Gestion détaillée du document

Date	Description
16 août 2011	version initiale.