Kaikissa Tomcat 4.x-julkaisuissa on havaittu tietoturva-aukko. Tämän aukon kautta hyökkääjän on mahdollista, ilman kunnollista käyttäjätunnistusta, huolella muotoillun URL-osoitteen avulla palauttaa käsittelemättömän JSP-sivun lähdekoodi, tai tietyissä olosuhteissa, jokin staattinen resurssi joka muutoin olisi suojattu jollain turvamenetelmällä.
Ongelma on korjattu nykyisen vakaan jakelun (woody) versiossa 4.0.3-3woody1 ja epävakaan jakelun (sid) versiossa 4.1.12-1 . Aiempi vakaa jakelu (potato) ei sisällä tomcat-paketteja. Myöskään tomcat3:n paketit eivät ole alttiita tälle haavoittuvuudelle.
Suosittelemme päivittämään tomcat-paketin välittömästi.
Listattujen tiedostojen MD5-tarkistussummat ovat luettavissa alkuperäisestä tiedotteesta.