Множественные уязвимости в Apache Tomcat
| Дата публикации: | 09.03.2011 |
| Дата изменения: | 09.02.2012 |
| Всего просмотров: | 1017 |
| Опасность: | Средняя |
| Наличие исправления: | Да |
| Количество уязвимостей: | 8 |
| CVSSv2 рейтинг: | 5 (AV:N/AC:L/Au:N/C:P/I:N/A:N/E:U/RL:O/RC:C) 5 (AV:N/AC:L/Au:N/C:P/I:N/A:N/E:U/RL:O/RC:C) 6.4 (AV:N/AC:L/Au:N/C:P/I:P/A:N/E:U/RL:O/RC:C) 7.5 (AV:N/AC:L/Au:N/C:P/I:P/A:P/E:U/RL:O/RC:C) 7.5 (AV:N/AC:L/Au:N/C:P/I:P/A:P/E:U/RL:O/RC:C) 7.5 (AV:N/AC:L/Au:N/C:P/I:P/A:P/E:U/RL:O/RC:C) 7.5 (AV:N/AC:L/Au:N/C:P/I:P/A:P/E:U/RL:O/RC:C) 7.5 (AV:N/AC:L/Au:N/C:P/I:P/A:P/E:U/RL:O/RC:C) |
| CVE ID: |
CVE-2011-1088 CVE-2011-1475 CVE-2011-1184 CVE-2011-1183 CVE-2011-1419 CVE-2011-5062 CVE-2011-5063 CVE-2011-5064 |
| Вектор эксплуатации: | Удаленная |
| Воздействие: |
Раскрытие важных данных Внедрение в сессию пользователя Обход ограничений безопасности |
| CWE ID: | Нет данных |
| Наличие эксплоита: | Нет данных |
| Уязвимые продукты: | Apache Tomcat 7.x |
| Уязвимые версии: Apache Tomcat версии 7.0.0 по 7.0.11
Описание: 1. Уязвимость существует из-за того, что приложение некорректно использует "@ServletSecurity" аннотации при загрузке сервлетов. Удаленный пользователь может обойти некоторые ограничения безопасности, указанные в аннотации, и получить доступ к потенциально важным данным. 2. Уязвимость существует из-за ошибки в HTTP BIO коннекторе при обработке конвейерных асинхронных запросов, что может привести к отправке ответа клиенту, который не отправлял запрос. 3. Уязвимость существует в реализации механизма аутентификации HTTP DIGEST. Удаленный пользователь может осуществить атаки повторения. 4. Уязвимость существует в реализации механизма аутентификации HTTP DIGEST при проверке случайных чисел на стороне сервера. 5. Уязвимость существует в реализации механизма аутентификации HTTP DIGEST при проверке случайных чисел на стороне клиента. 6. Уязвимость существует в реализации механизма аутентификации HTTP DIGEST при проверке значения qop. 7. Уязвимость существует в реализации механизма аутентификации HTTP DIGEST при проверке значений области. 8. Уязвимость существует в реализации механизма аутентификации HTTP DIGEST из-за наличия неизменяемой строки, используемой в качестве ключа сервера. URL производителя: tomcat.apache.org Решение: Установите последнюю версию 7.0.12 с сайта производителя. |
|
| Ссылки: |
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.10_%28released_8_Mar_2011%29 http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.11_%28released_11_Mar_2011%29 http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.12_%28released_6_Apr_2011%29 http://mail-archives.apache.org/mod_mbox/tomcat-announce/201109.mbox/%3C4E805D2E.8010401@apache.org%3E http://tomcat.markmail.org/thread/lzx5273wsgl5pob6 https://issues.apache.org/bugzilla/show_bug.cgi?id=50957 |
| Журнал изменений: | a:2:{s:4:"TEXT";s:43:"09.02.2012 Незначительные изменения.";s:4:"TYPE";s:4:"html";} |