DSA-2725-1 tomcat6 -- несколько уязвимостей

Высокая (6.8)

(AV:N/AC:M/Au:N/C:P/I:P/A:P)

Debian

tomcat6 (any)

В сервлете Tomcat и движке JSP были найдены две уязвимости:

CVE-2012-3544
Фильтр ввода для передачи данных в виде частей может вызвать высокое потребление
    ресурсов из-за неправильно сформированных последовательностей CRLF, что приводит к
    отказу в обслуживании.
CVE-2013-2067
Модуль FormAuthenticator уязвимо по отношению к фиксации сессии.

В предыдущем стабильном выпуске (squeeze) эти проблемы были исправлены в
версии 6.0.35-1+squeeze3. Данное обновление включает в себя исправления
CVE-2012-2733,
CVE-2012-3546,
CVE-2012-4431,
CVE-2012-4534,
CVE-2012-5885,
CVE-2012-5886 и
CVE-2012-5887,
которые уже были исправлены в стабильном выпуске.
В стабильном выпуске (wheezy) эти проблемы испарвлены в
версии 6.0.35-6+deb7u1.
В нестабильном выпуске (sid) эти проблемы будут исправлены позже.
Рекомендуется обновить пакеты tomcat6.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 6:
noarch:
tomcat6 - 6.0.35-1+squeeze3
Debian GNU/Linux 7:
noarch:
tomcat6 - 6.0.35-6+deb7u1

http://www.debian.org/security/dsa-2725/

Источник: CVE
Наименование: CVE-2012-3544
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-3544

Источник: CVE
Наименование: CVE-2013-2067
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-2067