1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
|
#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Lev Lamberov"
<define-tag description>обновление безопасности LTS</define-tag>
<define-tag moreinfo>
<p>Tomcat 6, реализация спецификаций Java Servlet и JavaServer
Pages (JSP), а также чистое Java-окружение для веб-сервера,
содержит многочисленные проблемы безопасности в версиях до 6.0.45.</p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-5174">CVE-2015-5174</a>
<p>Обход каталога в RequestUtil.java в Apache
Tomcat 6.x до версии 6.0.45, 7.x до версии 7.0.65 и 8.x до версии 8.0.27
позволяет удалённым аутентифицированным пользователям обходить специальные ограничения
SecurityManager и узнать содержимое родительского каталога с помощью /.. (косая черта и две точки)
в имени пути, используемом веб-приложением в вызовах getResource,
getResourceAsStream или getResourcePaths, что продемонстрировано
каталогом $CATALINA_BASE/webapps.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-5345">CVE-2015-5345</a>
<p>Компонент Mapper в Apache Tomcat 6.x до версии 6.0.45, 7.x до версии
7.0.67, 8.x до версии 8.0.30 и 9.x до версии 9.0.0.M2 обрабатывает
перенаправления до рассмотрения к ограничениям безопасности и фильтрам, что позволяет
удалённым злоумышленникам определять существование каталога
с помощью URL, в конце которого отсутвует символ / (косая черта).</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-5351">CVE-2015-5351</a>
<p>Приложения Manager и Host Manager в Apache Tomcat устанавливают
сессии и отправляют токены CSRF в ответ на произвольные новые запросы,
что позволяет удалённым злоумышленникам обходить механизм защиты CSRF,
используя токены.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-0706">CVE-2016-0706</a>
<p>Apache Tomcat 6.x до версии 6.0.45, 7.x до версии 7.0.68, 8.x до версии
8.0.31 и 9.x до версии 9.0.0.M2 не помещает
org.apache.catalina.manager.StatusManagerServlet в список org/apache
/catalina/core/RestrictedServlets.properties, что позволяет удалённым
аутентифицированным пользователям обходить специальные ограничения SecurityManager
и считывать произвольные запросы HTTP, а затем и обнаруживать
значения идентификаторов сессии при помощи специально сформированного веб-приложения.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-0714">CVE-2016-0714</a>
<p>Реализация session-persistence в Apache Tomcat 6.x до версии
6.0.45, 7.x до версии 7.0.68, 8.x до версии 8.0.31 и 9.x до версии
9.0.0.M2 неправильно обрабатывает атрибуты сессий, что позволяет удалённым
аутентифицированным пользователям обходить специальные ограничения SecurityManager
и выполнять произвольный код в привилегированном контексте с помощью
веб-приложения, помещающего в сессию специально сформированный объект.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-0763">CVE-2016-0763</a>
<p>Метод setGlobalContext в org/apache/naming/factory
/ResourceLinkFactory.java в Apache Tomcat не выполняет проверку авторизации
вызывающих функций ResourceLinkFactory.setGlobalContext, что позволяет
удалённым аутентифицированным пользователям обходить специальные ограничения SecurityManager
и выполнять чтение или запись в произвольные данные приложения, либо
вызывать отказ в обслуживании (сбой приложения) при помощи веб-приложения,
которое создаёт специально сформированный глобальный контекст.</p></li>
</ul>
<p>В Debian 6 <q>Squeeze</q> эти проблемы были исправлены в версии
6.0.45-1~deb6u1.</p>
<p>Рекомендуется обновить пакеты tomcat6.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2016/dla-435.data"
# $Id$
|
