En sikkerhedssårbarhed er blevet opdaget i alle Tomcat 4.x-udgaver. Problemet tillader en angriber at bruge en specielt fremstillet URL til at returnere den ubehandlede kildekode fra en JSP-side, eller under særlige omstændigheder, en statisk ressource som ellers ville have været beskyttet af sikkerhedsbegrænsninger, uden at det er nødvendigt at være autentificeret på korrekt vis.
Problemet er rettet i version 4.0.3-3woody1 i den aktuelle stabile distribution (woody) og i version 4.1.12-1 i den ustabile udgave (sid). Den gamle udgave (potato) indeholder ikke tomcat-pakker. tomcat3-pakkerne er desuden ikke sårbare overfor dette problem.
Vi anbefaler at du omgående opgraderer din tomcat-pakke.
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.