S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 06 août 2007
N° CERTA-2007-AVI-345
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de Tomcat

Gestion du document

Référence CERTA-2007-AVI-345
Titre Vulnérabilité de Tomcat
Date de la première version06 août 2007
Date de la dernière version06 août 2007
Source(s) Bulletin de sécurité du projet Tomcat
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

Tomcat, version 3.x.

Résumé

Une mauvaise gestion des messages d'erreur permet à un utilisateur malintentionné d'exécuter un code arbitraire à distance.

Description

Lorsque Tomcat retourne une page d'erreur, les entrées ayant provoqué l'erreur ne sont pas filtrées. Cela permet à un utilisateur malveillant de provoquer une injection de code indirecte (XSS, cross site scripting).

Des preuves de faisabilité existent sur l'Internet.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 06 août 2007
    version initiale.