2017-0137: Apache Tomcat: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2017-01-24 13:19): Neues Advisory
Version 2 (2017-02-02 17:25): Durch das letzte Sicherheitsupdate für Tomcat wurde eine Regression eingeführt. Diese betrifft Installationen, die mit einem Security Manager gestartet werden und bewirkt, dass Tomcat nicht mehr gestartet werden kann oder neue Sicherheitsupdates nicht installiert werden können. Canonical stellt für Ubuntu 12.04 LTS und 14.04 LTS aktualisierte Sicherheitsupdates zur Verfügung.
Version 3 (2020-10-01 13:34): Canonical stellt für Ubuntu 16.04 LTS über das Paket 'libservlet2.5-java' erneut Sicherheitsupdates für 'tomcat6' bereit, um die meisten der Schwachstellen zu adressieren.
Version 4 (2023-05-15 11:20): Die CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY (CISA) hat die Schwachstelle CVE-2016-8735 in ihren 'Known Exploited Vulnerabilities Catalog' aufgenommen, da diese aktiv ausgenutzt wird.

Betroffene Software

Server

Betroffene Plattformen

Linux

Beschreibung:

Mehrere Schwachstellen in Apache Tomcat ermöglichen auch einem entfernten Angreifer, in einigen Fällen mit üblichen Benutzerrechten, das Ausführen beliebigen Programmcodes, das Ausspähen von Informationen sowie das Umgehen von Sicherheitsvorkehrungen. Die als 'httpoxy'-Problem bekannte Schwachstelle CVE-2016-5388 ermöglicht es einem entfernten Angreifer mit üblichen Benutzerrechten ebenfalls, Sicherheitsvorkehrungen zu umgehen.

Canonical stellt für Ubuntu 16.10, Ubuntu 16.04 LTS, Ubuntu 14.04 LTS und Ubuntu 12.04 LTS verschiedene Sicherheitsupdates für Tomcat 8, Tomcat 7 bzw. Tomcat 6 zur Verfügung, um diese Schwachstellen zu beheben.