Le CERT-FR a connaissance de notifications envoyées par Apple le 13 août 2026 à des utilisateurs ciblés par des logiciels espions. Si vous en avez été destinataire, contactez le CERT-FR au plus vite.

S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 29 mai 2007
N° CERTA-2007-AVI-229
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans Tomcat

Gestion du document

Référence CERTA-2007-AVI-229
Titre Vulnérabilité dans Tomcat
Date de la première version29 mai 2007
Date de la dernière version29 mai 2007
Source(s) Bulletin de version de Tomcat du 18 mai 2007

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Contournement de la politique de sécurité

Systèmes affectés

mod_jk, versions 1.2.22 et antérieures.

Ce composant est livré avec Tomcat, versions :

  • 4.0.1 à 4.0.6 ;
  • 5.0.0 à 5.0.30 ;
  • 5.5.0 à 5.5.23.

Résumé

Une vulnérabilité de mod_jk permet à un utilisateur malveillant de contourner la politique de sécurité.

Description

Une mauvaise gestion du codage des deux points (« .. ») est exploitable par un utilisateur malveillant pour utiliser des ressources auxquelles il ne devrait pas accéder.

Solution

La version 1.2.23 de mod_jk corrige le problème. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Le correctif peut induire des incompatibilités avec le composant mod_rewrite.

Documentation

Gestion détaillée du document

    le 29 mai 2007
    version initiale.