S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 02 novembre 2007 No CERTA-2007-AVI-470

Affaire suivie par :

CERTA

Objet : Vulnérabilité de Tomcat WebDAV et des applications l'utilisant

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Atteinte à la confidentialité des données.

2 Systèmes affectés

Servlet WebDAV du logiciel Apache Tomcat et logiciels l'utilisant :

• Apache Tomcat, branches 4, 5 et 6 ;
• Apache Geronimo, branches 1 et 2 ;
• Apache Jakarta Slide, branche 2 ;
• IBM Websphere.

Cette liste n'est pas limitative.

3 Résumé

4 Description

Cette servlet est utilisée dans d'autres logiciels, les rendant également vulnérables.

5 Solution

Les versions de Tomcat 5.5 SVN et 6.0 SVN corrigent le problème. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité IBM swg21286112 du 01 novembre 2007 :

  http://www-1.ibm.com/support/docview.wss?uid=swg21286112
  

• Bulletins de sécurité du projet Apache Tomcat :

  http://tomcat.apache.org/security-6.html
  

  http://tomcat.apache.org/security-5.html
  

  http://tomcat.apache.org/security-4.html
  

• Bulletin du projet Apache Geronimo :

  http://geronimo.apache.org/2007/10/18/potential-vulnerability-in-apache-tomcat-webdav-servlet.html
  

• Référence CVE CVE-2007-5461 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-5461
  

Gestion détaillée du document

02 novembre 2007

version initiale.