Tomcat entry updates

Offen

#4,590 erstellt am 09.7.2024 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 5/5
Geschätzter Aufwand: Über eine Woche
Anfängerfreundlichkeit: 25/100

Issue-Typ: Bug
Klarheit: Muss geklärt werden
Aktivitätsstatus: Veraltet
Tech-Stack: java
Bereich: security

Rechercherichtung

Beginne mit der Prüfung der verknüpften Tabelle und vergleiche ihre Komponenten-Zuordnungen mit den referenzierten GitHub-Advisories, einschließlich GHSA-3p86-xgrq-m6p6 und GHSA-f4qf-m5gf-8jm8. Kläre vor Änderungen mit den Betreuern der advisory-database, wie dieser Korpus eingereicht werden soll und welche Einträge im Umfang enthalten sind; als erledigt gilt die Aufgabe, wenn die akzeptierten Aktualisierungen betroffene Tomcat-Komponenten statt des aggregierten Projektpakets identifizieren.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Hello,

I have a spreadsheet with a large number of Tomcat advisory updates (this sheet is not current with the latest Tomcat vulnerabilities)
https://docs.google.com/spreadsheets/d/1b8XqUEK1PuOfTjm1jj-YSIoQa92A7uwjVfF06kd4bXg/edit?gid=0#gid=0

Many GitHub advisories for tomcat reference the package org.apache.tomcat:tomcat, which is not an installable jar. For example
https://github.com/advisories/GHSA-3p86-xgrq-m6p6

Vulnerability scanners should be detecting specific components of the Tomcat project rather than the project itself, and vulnerabilities affect specific Tomcat jars, not all Tomcat jars.

There are some GitHub Tomcat advisories that do capture the specific components that a vulnerability affects
https://github.com/advisories/GHSA-f4qf-m5gf-8jm8

In the spreadsheet I have identified the Tomcat component(s) affected by the given vulnerabilities in column D. Some of the vulnerabilities couldn't be figured out, or are documentation or example updates. I left them in for posterity.

I have a few questions about how to submit this large corpus of updates. I would like to work with the GitHub team to minimize friction. I'm very open to suggestions. I can submit one big PR, many small PRs. I'm happy to trickle them in if that's easier. Whatever works best for the GitHub team.

Vorherrschende Sprache: Keine Sprachdaten
Sterne: 2.5k
Forks: 772
Ø Merge: 3 T. 15 Std.
Gemergte PRs (30 T.): 46

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/advisory-database

GHSA-vxq2-vhm7-7mhq: expand fetch-page-assets affected versions beyond = 1.2.9 Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

github/advisory-database#9255 · Erstellt am 28.8.2026
GHSA-2jcg-qqmg-46q6 monorepo-symlink-test placeholder version false positive Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/advisory-database#9164 · 1 Reaktion · Erstellt am 19.8.2026
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/advisory-database#8994 · Erstellt am 05.8.2026
GHSA-mh99-v99m-4gvg (brace-expansion): flat `<= 5.0.7` range misses backported fixes in 1.x, 2.x and 3.x Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

github/advisory-database#8898 · 4 Kommentare · 1 Reaktion · Erstellt am 30.7.2026
LDAP Injection in CMAK (Cluster Manager for Apache Kafka) via Search Filter Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/advisory-database#8841 · Erstellt am 28.7.2026

Alle Issues in github/advisory-database