Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

Apache Tomcat JULI Logging Component Contournement de la Sécurité

02/01/2008 10H03
Référence Secunia : SA28274 
Date de publication : 2008-01-02

Risque : Non Critique. Niveau 2 sur 5.
Impact : Contournement de la Sécurité
Lieu : Système local


Solutions :
Solution de l'éditeur


Produit :
Apache Tomcat 5.x
Apache Tomcat 6.x

Référence CVE :
CVE-2007-5342



Description :
Une faille de sécurité a été rapportée dans Apache Tomcat, qui pourrait être exploitée par des utilisateurs locaux malveillants pour passer outre certaines restrictions de sécurité.

Le problème de sécurité est causé du fait de restrictions de sécurité insuffisantes étant imposées sur le composant JULI par la politique de sécurité de journalisation par défaut. Cela pourrait être exploité par des applications web non-fiables pour créer ou sur-écrire des fichiers arbitraires avec les permissions du processus Apache Tomcat via une configuration de journalisation spécialement conçue.

Le problème de sécurité est rapporté en versions 5.5.9 à 5.5.25 et 6.0.0 à 6.0.15.


Solutions :
Corrigé dans SVN repository.
http://svn.apache.org/viewvc/tomcat/trunk/conf/catalina.policy?r1=593649&r2=606594&pathrev=606594&view=patch


Vulnérabilité découverte par :

L'éditeur crédite Delian Krustev.

Référence :
http://tomcat.apache.org/security-5.html
http://tomcat.apache.org/security-6.html




Veuillez noter : L'information sur laquelle ce bulletin Secunia est basé provient d'un tiers sans mention du contraire. Secunia collecte, valide, et vérifie tout les rapports de vulnérabilité issus de la recherche en sécurité de groupes, distributeurs ou autres.

Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.