Numéro de série : AV24-722
Date : 18 décembre 2024
Le 17 décembre 2024, Apache a publié un bulletin de sécurité visant à corriger une vulnérabilité critique liée aux produits suivants :
- Apache Tomcat – de la version 11.0.0-M 1 à 11.0.1;
- Apache Tomcat – de la version 10.1.0-M 1 à 10.1.33;
- Apache Tomcat – de la version 9.0.0.M 1 à 9.0.97.
Mise à jour 1
Le 20 décembre 2024, Apache a publié un bulletin de sécurité visant à corriger la mesure d’atténuation incomplète pour la vulnérabilité CVE-2024-50379, maintenant désignée CVE-2024-56337. Une mesure d’atténuation complète exige des étapes additionnelles et plus des mises à jour publiées par Apache le 17 décembre. Ces étapes additionnelles dépendent des versions Java spécifiques utilisées :
- Pour Java 8 ou 11, il est recommandé de régler la propriété système « sun.io.useCanonCaches » à faux « false » (default: true).
- Pour Java 17, s’assurer que si la propriété « sun.io.useCanonCaches » a été réglée, elle est configurée au mode faux (default: false).
- Pour Java 21 et les versions ultérieures, aucune configuration n’est nécessaire. La propriété et le cache problématique ont été supprimés.
Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.