Apache Tomcat отстрани осем уязвимости в сигурността, които биха могли да позволят на атакуващи да заобиколят проверките за парола, да изложат данни между потребители и да прекъснат връзки при определени условия.
Apache разкри уязвимостите на 20 октомври 2026 г., след като пусна корекции за сигурност в Tomcat 11.0.27, 10.1.61 и 9.0.123. Осемте проблема обхващат различни клонове на изданията, така че не всеки дефект засяга всяка версия.
Apache определя три от уязвимостите като важни (Important) и пет като ниски (Low). Най-сериозните проблеми засягат автентикацията, обработката на HTTP/2 заявки и обработката на AJP отговори. Тяхното въздействие зависи от версията на Tomcat и разрешените функционалности, което прави проверките на конфигурацията важна част от оценката на експозицията.
CVE-2026-101296 засяга JNDIRealm, когато е конфигуриран с non-GSSAPI SASL механизъм за автентикация. Липсваща стъпка за валидация позволява на атакуващи да се автентикират, без да предоставят правилната парола.
Уязвимостта засяга Tomcat от 11.0.0-M1 до 11.0.26, от 10.1.0-M1 до 10.1.60 и от 9.0.0.M1 до 9.0.122. Тя не представлява универсално заобикаляне на входа във всички инсталации на Tomcat.
Apache Tomcat коригира 8 уязвимости в сигурността
Проблемът се различава от по-ранното заобикаляне на JNDIRealm, свързано с GSSAPI, отразено в доклада на Cyber Security News за уязвимости при автентикация в Apache Tomcat.
Последното предупреждение за сигурност касае други SASL механизми, така че администраторите трябва да проверят действителните настройки за автентикация, вместо да разчитат единствено на името на компонента.
CVE-2026-101356 е свързана с неправилно рециклиране и повторно използване на вътрешни обекти по време на HTTP/2 обработка на асинхронни сервлети. След грешка при обработка заявки или отговори могат да се смесят между различни потребители.
Засегнатите версии включват от 11.0.22 до 11.0.26, от 10.1.55 до 10.1.60 и от 9.0.118 до 9.0.122. Това създава риск от преминаване на информация отвъд границите на отделните потребителски сесии.
CVE-2026-103119 засяга обработката на AJP отговори в Tomcat от 11.0.0-M25 до 11.0.26. Недостиг при четене от буфер (buffer under-read) по време на голям неблокиращ запис може да раздели тялото на отговора между текущата и следващата заявка по същата връзка.
Според Apache вероятният резултат е неуспех на втората заявка с възможно изтичане на данни от първия отговор. CVE-2026-88041 позволява информация от заглавните части (trailers) на HTTP/2 от по-ранна заявка да изтече в по-късна заявка поради непълно изчистване.
| CVE ID | Уязвимост | Ниво на сериозност |
|---|---|---|
| CVE-2026-101296 | Заобикаляне на автентикация в JNDIRealm | Important |
| CVE-2026-101356 | Смесване на HTTP/2 заявки/отговори | Important |
| CVE-2026-103119 | Смесване на AJP отговори | Important |
| CVE-2026-88041 | Изтичане на HTTP/2 trailer информация | Low |
| CVE-2026-93446 | Грешка при връзка през TLS 1.3 | Low |
| CVE-2026-74049 | Дефект при пренасочване в Jasper | Low |
| CVE-2026-74048 | Неуспешна активация на FIPS | Low |
| CVE-2026-80353 | Състояние на надпревара при правата за APR сокети | Low |
Друг дефект при изчистването, CVE-2026-93446, може да причини периодични сривове на връзки през TLS 1.3. Apache класифицира и двата проблема с ниво Low, отделяйки ги от по-сериозното смесване на заявки и отговори между потребители.
CVE-2026-74049 засяга плъгина за JSTL <c: redirect> на Jasper. Обработката не спира незабавно след пренасочване, което позволява на останалия код на страницата да се изпълни.
CVE-2026-74048 засяга конфигурации с OpenSSL-FFM, използващи режим FIPS. Ако активирането на FIPS се провали, Tomcat записва грешка в лога, но продължава работа с JSSE в режим без FIPS, вместо да прекрати стартирането.
Осмият дефект, CVE-2026-80353, засяга конектора APR на Tomcat 9. Състояние на надпревара при създаване на Unix Domain Socket може да предостави достъп на неоторизиран локален потребител. Apache уточнява, че предишната корекция за CVE-2026-65183 не е покривала този конектор. Засегнати са версии от 9.0.47 до 9.0.122.
Администраторите трябва да обновят засегнатите системи до коригираното издание за съответния клон. Бюлетините за сигурност на Apache за Tomcat 11 и Tomcat 9 предоставят информация за засегнатите диапазони и подробности за корекциите за сигурност.
По-ранните уязвимости при контрол на достъпа в Tomcat предлагат полезен контекст, но техните по-стари коригирани версии не отстраняват тази нова поредица от проблеми. В бюлетините на Apache не се съобщава за активна злоупотреба. Въпреки това рисковете от заобикаляне на пароли и изтичане на данни между потребители налагат своевременно инсталиране на корекции за сигурност навсякъде, където засегнатите функционалности се използват.