Avis du CERT-FR
Objet : Vulnérabilité dans Apache Tomcat
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
Systèmes affectés
Apache Tomcat, versions 5.5.x, 6.0.x et 7.0.x.
Résumé
Une vulnérabilité dans Apache Tomcat permet à un utilisateur malveillant de contourner la politique de sécurité et de porter atteinte à l'intégrité et à la confidentialité de données.
Description
Une vulnérabilité dans Apache Tomcat affecte le traitement du protocole AJP (Apache JServ Protocol).
Elle permet à un utilisateur malveillant d'insérer une adresse IP de client ou le nom d'un utilisateur authentifié, et de provoquer le mélange des réponses de requêtes d'utilisateurs différents.
Solution
Les correctifs sont les suivants selon les branches :
- révision 1162960, puis version 5.5.34 dès publication ;
- révision 1162959, puis version 6.0.34 dès publication ;
- révision 1162958, puis version 7.0.21 dès publication.
Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Annonces de versions Apache Tomcat du 29 août 2011 :
http://tomcat.apache.org/security-6.html -
Annonces de versions Apache Tomcat du 29 août 2011 :
http://tomcat.apache.org/security-7.html -
Annonces de versions Apache Tomcat du 29 août 2011 :
http://tomcat.apache.org/security-5.html -
Référence CVE CVE-2011-3190
https://www.cve.org/CVERecord?id=CVE-2011-3190
Gestion détaillée du document
| Date | Description |
|---|---|
| 31 août 2011 | version initiale. |