Apache Software Foundation a récemment publié une mise à jour de sécurité corrigeant une vulnérabilité affectant les versions susmentionnées du serveur Tomcat lors de l’utilisation d’un serveur OCSP (Online Certificate Status Protocol). 

Le mécanisme ne traite pas correctement les vérifications d’authenticité et de validité des réponses OCSP. Cette faiblesse peut permettre le contournement de la vérification de révocation des certificats TLS, exposant les applications à l’acceptation de certificats potentiellement révoqués. L’exploitation de cette faille pourrait permettre à un attaquant de contourner la politique de sécurité et exposer les serveurs vulnérables aux attaques de type Man-in-the-Middle.