DSA-3842-1 tomcat7 -- обновление безопасности

Высокая (6.4)

(AV:N/AC:L/Au:N/C:P/I:P/A:N)

Debian

libservlet3.0-java (any) libservlet3.0-java-doc (any) libtomcat7-java (any) tomcat7 (any) tomcat7-admin (any) tomcat7-common (any) tomcat7-docs (any) tomcat7-examples (any) tomcat7-user (any)

В tomcat7, сервлете и движке JSP, были обнаружены две
уязвимости.

CVE-2017-5647
  Конвейерно обрабатываемые запросы обрабатываются неправильно, что может приводить к
  тому, что некоторые ответы отмечаются для отправки в ответ на несоответствующие запросы.
CVE-2017-5648
  Некоторые вызовы приложений-приёмников выполняются для несоответствующих
  объектов, что позволяет недоверенным приложениям, запущенным под управлением
  SecurityManager, обходить механизм защиты и получать доступ или даже изменять
  информацию, связанную с другими веб-приложениями.

В стабильном выпуске (jessie) эти проблемы были исправлены в
версии 7.0.56-3+deb8u10.
В готовящемся стабильном (stretch) и нестабильном (sid) выпусках
эти проблемы были исправлены в версии 7.0.72-3.
Рекомендуется обновить пакеты tomcat7.

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 8:
noarch:
libservlet3.0-java - 7.0.56-3+deb8u10
libservlet3.0-java-doc - 7.0.56-3+deb8u10
libtomcat7-java - 7.0.56-3+deb8u10
tomcat7 - 7.0.56-3+deb8u10
tomcat7-admin - 7.0.56-3+deb8u10
tomcat7-common - 7.0.56-3+deb8u10
tomcat7-docs - 7.0.56-3+deb8u10
tomcat7-examples - 7.0.56-3+deb8u10
tomcat7-user - 7.0.56-3+deb8u10

http://www.debian.org/security/dsa-3842/

Источник: CVE
Наименование: CVE-2017-5647
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5647

Источник: CVE
Наименование: CVE-2017-5648
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5648