Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2010-AVI-041

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2010-AVI-041-001
Titre	Multiples vulnérabilités dans Apache Tomcat
Date de la première version	02 février 2010
Date de la dernière version	03 février 2010
Source(s)	Bulletin de sécurité Apache Tomcat 6
	Bulletin de sécurité Apache Tomcat 5
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité ;
atteinte à l'intégrité des données.

2 Systèmes affectés

Apache Tomcat 5, des versions 5.5.0 à 5.5.28 ;
Apache Tomcat 6, des versions 6.0.0 à 6.0.20.

3 Résumé

De multiples vulnérabilités permettant de contourner la politique de sécurité ont été corrigées dans Apache Tomcat.

4 Description

De multiples vulnérabilités ont été corrigées dans Apache Tomcat. Plusieurs erreurs dans le module de déploiement permettent la modification des droits d'accès ou la suppression arbitraire de fichiers.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Les correctifs pour la version 5.5.x ne sont pas encore disponibles sur le site de l'éditeur.

6 Documentation

Bulletin de sécurité Apache Tomcat 6 :

http://tomcat.apache.org/security-6.html

Bulletin de sécurité Apache Tomcat 5 :

http://tomcat.apache.org/security-5.html

Référence CVE CVE-2009-2693 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2693

Référence CVE CVE-2009-2901 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2901

Référence CVE CVE-2009-2902 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2902

Référence CVE CVE-2009-3548 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3548

Gestion détaillée du document

02 février 2010: version initiale.
03 février 2010: précision de la section Solution du document.

CERTA
2010-02-04

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

webmestre

Dernière mise à jour : le 17/03/2010

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques

Centre d'Expertise Gouvernemental de
Réponse et de Traitement des Attaques informatiques