Множественные уязвимости в Apache Tomcat
| Дата публикации: | 16.02.2010 |
| Дата изменения: | 03.06.2010 |
| Всего просмотров: | 3476 |
| Опасность: | Низкая |
| Наличие исправления: | Да |
| Количество уязвимостей: | 3 |
| CVSSv2 рейтинг: | 2.6 (AV:N/AC:H/Au:N/C:P/I:N/A:N/E:U/RL:O/RC:C) 4 (AV:N/AC:L/Au:S/C:N/I:P/A:N/E:U/RL:O/RC:C) 4 (AV:N/AC:L/Au:S/C:N/I:P/A:N/E:U/RL:O/RC:C) |
| CVE ID: |
CVE-2009-2693 CVE-2009-2901 CVE-2009-2902 |
| Вектор эксплуатации: | Удаленная |
| Воздействие: |
Раскрытие важных данных Неавторизованное изменение данных Обход ограничений безопасности |
| CWE ID: | Нет данных |
| Наличие эксплоита: | Нет данных |
| Уязвимые продукты: | Apache Tomcat 6.x |
| Уязвимые версии: Apache Tomcat версии 6.0.0 по 6.0.20
Описание: 1. Уязвимость существует из-за ошибки в программном обеспечении при возникновении ситуации, когда происходит сбой развертывания приложения. Это может привести к небезопасным привилегиям на доступ к файлам в процессе автоматического развертывания приложения, и позволит злоумышленнику получить доступ к потенциально важной информации. 2. Уязвимость существует из-за некорректной обработки имен WAR файлов. Удаленный пользователь может с помощью WAR файла, содержащего символы обхода каталога в имени, удалить файлы в рабочей директории хоста. 3. Уязвимость существует из-за недостаточной обработки имен файлов, содержащихся в WAR файле. Удаленный пользователь может с помощью специально сформированного WAR файла создать произвольные файлы на системе за пределами корневой директории Web сервера. URL производителя: tomcat.apache.org/ Решение: Установите последнюю версию 6.0.24 с сайта производителя. |
|
| Ссылки: |
http://tomcat.apache.org/security-6.html http://archives.neohapsis.com/archives/fulldisclosure/2010-01/0476.html http://archives.neohapsis.com/archives/fulldisclosure/2010-01/0478.html http://archives.neohapsis.com/archives/fulldisclosure/2010-01/0477.html |