Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Apache Tomcat est un serveur web et un conteneur de servlets open-source largement utilisé, mais comme tout logiciel, il n'est pas à l'abri des vulnérabilités. Canonical a publié des mises à jour de sécurité pour corriger plusieurs vulnérabilités de Tomcat dans différentes versions, notamment Ubuntu 22.04 LTS, Ubuntu 20.04 LTS, Ubuntu 18.04 ESM et Ubuntu 16.04 ESM. Ces vulnérabilités, si elles sont exploitées, peuvent avoir de graves conséquences, notamment un déni de service, l'exécution de code arbitraire et la divulgation d'informations sensibles.
Dans cet article, nous explorons les détails de ces vulnérabilités et fournissons des conseils sur la façon de protéger vos systèmes avec des mises à jour de sécurité essentielles et un support étendu.
Vulnérabilités de Tomcat corrigées dans Ubuntu
9484 (CVSS3 Score de gravité : 7.0 Élevé)
Une vulnérabilité a été découverte dans Tomcat, qui gère de manière incorrecte certaines configurations peu courantes de PersistenceManager avec FileStore. Ce problème pourrait potentiellement permettre à un attaquant distant d'exécuter du code arbitraire. Il n'affecte que Tomcat 8 fonctionnant sous Ubuntu 18.04.
25122 (CVSS3 Score de gravité : 7.5 Élevé)
Une autre vulnérabilité a été découverte dans le traitement par Tomcat de certaines demandes de connexion HTTP/2. Un attaquant distant peut exploiter cette faille pour obtenir des réponses incorrectes pouvant contenir des informations sensibles. Cette vulnérabilité affecte également Tomcat 8 sur Ubuntu 18.04 LTS. Le traitement incorrect des requêtes HTTP/2 peut entraîner des fuites d'informations, ce qui représente un risque important pour la confidentialité des données.
41079 (CVSS3 Score de gravité : 7.5 Élevé)
Thomas Wozenilek a identifié une vulnérabilité dans Tomcat liée au traitement de certains paquets TLS. Ce problème pourrait potentiellement permettre à un attaquant distant de provoquer un déni de service. Cette vulnérabilité est spécifique à Tomcat 8 sur Ubuntu 18.04. Les attaques par déni de service peuvent perturber la disponibilité des services web, causant des problèmes opérationnels importants.
23181 (CVSS3 Score de gravité : 7.0 Élevé)
Trung Pham a découvert une condition de concurrence dans Tomcat lors de la gestion des fichiers de session avec FileStore. Cette vulnérabilité pourrait permettre à un attaquant distant d'exécuter du code arbitraire. Elle affectait Tomcat 8 sur Ubuntu 16.04 et 18.04, ainsi que Tomcat 9 sur Ubuntu 18.04 LTS et 20.04 LTS. La fin de vie d'Ubuntu 16.04 étant déjà passée, ces systèmes sont particulièrement vulnérables sans correctifs spécialisés.
29885 (CVSS3 Score de gravité : 7.5 Élevé)
Une vulnérabilité a été identifiée dans la documentation de Tomcat, qui indique de manière incorrecte que EncryptInterceptor fournit une protection de la disponibilité sur des réseaux non fiables. Cette information erronée pourrait permettre à un attaquant distant de provoquer un déni de service, même lorsque EncryptInterceptor est utilisé. Ce problème affecte Tomcat 8 sur Ubuntu 18.04 LTS et Tomcat 9 sur Ubuntu 18.04, 20.04 LTS, et 22.04 LTS.
Protéger vos systèmes Ubuntu
Compte tenu des risques associés à ces vulnérabilités, il est essentiel de s'assurer que votre installation de Tomcat est à jour avec les derniers correctifs de sécurité. Pour les versions d'Ubuntu prises en charge, telles qu'Ubuntu 22.04 LTS et 20.04 LTS, les mises à jour de sécurité sont disponibles via le dépôt standard. Il est important de noter que la fin de vie d'Ubuntu 20.04 est prévue pour avril 2025, après quoi les mises à jour de sécurité ne seront plus fournies sans un abonnement au support étendu. L'application régulière de ces mises à jour permet d'atténuer les risques posés par les vulnérabilités connues.
Cependant, Ubuntu 18.04 a atteint sa fin de vie et ne reçoit plus les mises à jour de sécurité standard. Si vous utilisez ces versions, vous devez envisager une mise à niveau vers une version prise en charge. Vous pouvez également opter pour des services d'assistance étendus.
En outre, les vulnérabilités de keepass sont un autre domaine clé à surveiller lors de la sécurisation de vos systèmes. Comme pour Tomcat, il est essentiel de maintenir votre gestionnaire de mots de passe à jour afin d'atténuer les risques associés aux vulnérabilités de ces applications.
Soutien au cycle de vie étendu (ELS) avec TuxCare
TuxCare propose un support de cycle de vie prolongé (ELS) pour Ubuntu 16.04 et 18.04, offrant l'application automatisée des correctifs de sécurité pendant une période pouvant aller jusqu'à cinq ans après la date officielle de fin de vie. Ce service couvre un large éventail de paquets, notamment le noyau Linux, Tomcat, glibc, OpenSSL, Python, OpenJDK, et bien d'autres encore. Grâce à l'ELS de TuxCare, vos systèmes restent protégés contre les menaces émergentes, garantissant ainsi un environnement informatique sécurisé même au-delà de la période de support standard.
Conclusion
Les vulnérabilités d'Apache Tomcat peuvent présenter des risques importants pour vos applications web et vos données. En vous tenant informé de ces vulnérabilités et en appliquant rapidement les mises à jour de sécurité, vous pouvez protéger vos systèmes contre d'éventuelles attaques. Pour les systèmes fonctionnant sous des versions d'Ubuntu en fin de cycle de vie (EOL), les options de support étendu telles que l'ELS de TuxCare constituent une solution précieuse pour garantir la sécurité et la conformité.
Ce guide présente les dangers de l'exécution de Linux en fin de vie.
Source : 1
