L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

alerte de vulnérabilité CVE-2017-5647

Apache Tomcat : obtention d'information via un mélange des réponses

Synthèse de la vulnérabilité

Un attaquant peut envoyer une rafale de requêtes HTTP 1.1 à Apache Tomcat, afin d'obtenir des informations sensibles.
Produits concernés : Tomcat, Blue Coat CAS, Debian, Fedora, MariaDB ~ précis, ePO, MySQL Community, MySQL Enterprise, Snap Creator Framework, openSUSE Leap, Solaris, Percona Server, XtraDB Cluster, RHEL, SUSE Linux Enterprise Desktop, SLES, Symantec Content Analysis, Ubuntu.
Gravité : 3/4.
Date création : 11/04/2017.
Références : bulletinapr2017, cpujul2017, CVE-2017-5647, DLA-924-1, DLA-924-2, DSA-3842-1, DSA-3843-1, FEDORA-2017-5261ba4605, FEDORA-2017-d5aa7c77d6, NTAP-20180605-0001, NTAP-20180607-0001, NTAP-20180607-0002, NTAP-20180614-0001, openSUSE-SU-2017:1292-1, RHSA-2017:1801-01, RHSA-2017:1802-01, RHSA-2017:2493-01, RHSA-2017:2494-01, RHSA-2017:3080-01, RHSA-2017:3081-01, SA156, SB10199, SUSE-SU-2017:1229-1, SUSE-SU-2017:1382-1, SUSE-SU-2017:1632-1, SUSE-SU-2017:1660-1, USN-3519-1, VIGILANCE-VUL-22391.

Description de la vulnérabilité

Le produit Apache Tomcat comprend un serveur HTTP.

Le protocole HTTP 1.1 permet d'envoyer plusieurs requêtes sans attendre la réponse de la première. Cependant, dans certains cas, le serveur fausse la correspondance entre requête et réponse, de sorte que le client peut recevoir la réponse d'une autre requête. Cette vulnérabilité est similaire à celle décrite dans VIGILANCE-VUL-21355.

Un attaquant peut donc envoyer une rafale de requêtes HTTP 1.1 à Apache Tomcat, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit une annonce de vulnérabilités informatiques. Chaque administrateur peut personnaliser la liste des produits pour lesquels il souhaite recevoir des alertes de vulnérabilités. L'équipe Vigil@nce surveille les vulnérabilités informatiques de systèmes et d'applications. La cellule de veille technologique suit les menaces sécurité qui ciblent le parc informatique.