El instalador de Windows de Tomcat deja la contraseña en blanco para el usuario administrativo de la aplicación, lo que puede resultar en un grave problema de seguridad, como resulta óbvio.

Las versiones afectadas son Tomcat de 5.5.0 a 5.5.28 y de 6.0.0 a 6.0.20, aunque las que ya no son soportadas también podrían verse afectadas. El problema es que el Windows Intaller deja la contraseña en blanco y no es cambiada después del proceso de instalación. El usuario admin tiene roles de admin y manager, con lo que posee completos poderes sobre Tomcat.

Los usuarios que hayan instalado Tomcat directamente desde un archivo zip o tar.gz no se ven afectados. Se recomienda eliminar este usuario del archivo de configuración tomcat-users.xml tras la instalación para no verse afectado por el problema, o establecerle en el mismo fichero una contraseña robusta.

Se corregirá este error en las próximas publicaciones 6.0.x y 5.5.x.

Es un artículo publicado en Hispasec.

También te puede interesar

• Las redes P2P no vulneran la Ley de Propiedad Intelectual
• Microsoft anuncia oficialmente Windows 7 RTM
• Piratear videoconsolas te puede salir caro
• Burlando el espionaje en los teléfonos
• Firefox 3.6 alpha 'Namoroka'