Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:M/Au:S/C:P/I:N/A:N)
Производитель ПО
Наименование ПО
tomcat5
(Unknown)
Описание
Уязвимость обхода каталога в Apache Tomcat в некоторых конфигурациях позволяет удаленным пользователям, которые прошли аутентификацию, читать произвольные файлы, используя WebDAV-запрос на запись, который определяет объект с тэгом SYSTEM.
Как исправить
Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.apache.org/
http://www.apache.org/
Ссылки
FULLDISC (20071014 Apache Tomcat Rem0Te FiLe DiscloSure ZeroDay): http://marc.info/?l=full-disclosure&m=119239530508382
MILW0RM (4530): http://www.milw0rm.com/exploits/4530
MLIST ([tomcat-users] 20071015 [Security] - Important vulnerability disclosed in Apache Tomcat webdav servlet): http://mail-archives.apache.org/mod_mbox/tomcat-users/200710.mbox/%3C47135C2D.1000705@apache.org%3E
http://issues.apache.org/jira/browse/GERONIMO-3549
http://tomcat.apache.org/security-4.html
http://tomcat.apache.org/security-5.html
http://tomcat.apache.org/security-6.html
http://geronimo.apache.org/2007/10/18/potential-vulnerability-in-apache-tomcat-webdav-servlet.html
http://www-1.ibm.com/support/docview.wss?uid=swg21286112
FEDORA (FEDORA-2007-3456): https://www.redhat.com/archives/fedora-package-announce/2007-November/msg00525.html
BID (26070): http://www.securityfocus.com/bid/26070
BID (31681): http://www.securityfocus.com/bid/31681
FRSIRT (ADV-2007-3622): http://www.frsirt.com/english/advisories/2007/3622
FRSIRT (ADV-2007-3671): http://www.frsirt.com/english/advisories/2007/3671
FRSIRT (ADV-2007-3674): http://www.frsirt.com/english/advisories/2007/3674
SECTRACK (1018864): http://www.securitytracker.com/id?1018864
XF (apache-tomcat-webdav-dir-traversal(37243)): http://xforce.iss.net/xforce/xfdb/37243
DEBIAN (DSA-1447): http://www.debian.org/security/2008/dsa-1447
DEBIAN (DSA-1453): http://www.debian.org/security/2008/dsa-1453
MANDRIVA (MDKSA-2007:241): http://www.mandriva.com/security/advisories?name=MDKSA-2007:241
MILW0RM (4530): http://www.milw0rm.com/exploits/4530
MLIST ([tomcat-users] 20071015 [Security] - Important vulnerability disclosed in Apache Tomcat webdav servlet): http://mail-archives.apache.org/mod_mbox/tomcat-users/200710.mbox/%3C47135C2D.1000705@apache.org%3E
http://issues.apache.org/jira/browse/GERONIMO-3549
http://tomcat.apache.org/security-4.html
http://tomcat.apache.org/security-5.html
http://tomcat.apache.org/security-6.html
http://geronimo.apache.org/2007/10/18/potential-vulnerability-in-apache-tomcat-webdav-servlet.html
http://www-1.ibm.com/support/docview.wss?uid=swg21286112
FEDORA (FEDORA-2007-3456): https://www.redhat.com/archives/fedora-package-announce/2007-November/msg00525.html
BID (26070): http://www.securityfocus.com/bid/26070
BID (31681): http://www.securityfocus.com/bid/31681
FRSIRT (ADV-2007-3622): http://www.frsirt.com/english/advisories/2007/3622
FRSIRT (ADV-2007-3671): http://www.frsirt.com/english/advisories/2007/3671
FRSIRT (ADV-2007-3674): http://www.frsirt.com/english/advisories/2007/3674
SECTRACK (1018864): http://www.securitytracker.com/id?1018864
XF (apache-tomcat-webdav-dir-traversal(37243)): http://xforce.iss.net/xforce/xfdb/37243
DEBIAN (DSA-1447): http://www.debian.org/security/2008/dsa-1447
DEBIAN (DSA-1453): http://www.debian.org/security/2008/dsa-1453
MANDRIVA (MDKSA-2007:241): http://www.mandriva.com/security/advisories?name=MDKSA-2007:241
