CVE-2026-101296
NieznaneStreszczenie
Brak krytycznego kroku uwierzytelniania w Apache Tomcat, gdy realm JNDI był skonfigurowany z mechanizmem SASL innym niż GSSAPI, pozwalał atakującym na uwierzytelnienie bez podania prawidłowego hasła. Dotyczy wersji 11.0.0-M1 do 11.0.26, 10.1.0-M1 do 10.1.60 oraz 9.0.0.M1 do 9.0.122; znane są również wersje EOL 8.5.0-8.5.100 i 7.0.0-7.0.109.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do aplikacji bez znajomości hasła, co może prowadzić do przejęcia kont i naruszenia danych.
Rekomendacja
Zaktualizuj Apache Tomcat do wersji 11.0.27, 10.1.61 lub 9.0.123.
Inne podatności w Apache Tomcat
Zobacz wszystkie- CVE-2026-93446Nieznane
Niekompletne czyszczenie w Apache Tomcat może powodować sporadyczne błędy połączeń TLS 1.3. Podatność dotyczy wersji 11.0.0-M21 do 11.0.26, 10.1.25 do 10.1.60 oraz 9.0.90 do 9.0.122.
- CVE-2026-88041Nieznane
Niekompletne czyszczenie w Apache Tomcat pozwalało na wyciek informacji z nagłówka trailer z poprzedniego żądania do kolejnego żądania. Podatność dotyczy wersji 11.0.0-M23 do 11.0.26, 10.1.27 do 10.1.60 oraz 9.0.92 do 9.0.122.
- CVE-2026-80353Nieznane
Warunek wyścigu TOCTOU w Apache Tomcat podczas tworzenia gniazd domeny unix dla konektora APR/Native pozwala nieautoryzowanemu lokalnemu użytkownikowi na dostęp do gniazda domeny unix. Poprawka dla CVE-2026-65183 dotyczyła tylko konektora NIO. Podatność dotyczy wersji 9.0.47 do 9.0.122.
- CVE-2026-74049Nieznane
Podatność Execution After Redirect (EAR) w Apache Tomcat. Dotyczy wersji 11.0.0-M1 do 11.0.26, 10.1.0-M1 do 10.1.60 oraz 9.0.0.M1 do 9.0.122; znane są również wersje EOL 8.5.0-8.5.100 i 7.0.0-7.0.109.
- CVE-2026-74048Nieznane
Podatność "Failing Open" w Apache Tomcat: jeśli OpenSSLLifecycleListener jest skonfigurowany do trybu FIPS, ale aktywacja FIPS nie powiedzie się, Tomcat loguje błąd, ale kontynuuje pracę z JSSE w trybie nie-FIPS z podaną konfiguracją. Dotyczy wersji 11.0.0-M14 do 11.0.26, 10.1.22 do 10.1.60 oraz 9.0.92 do 9.0.122.
- CVE-2026-101356Nieznane
Nieprawidłowe recykling i ponowne użycie obiektów w Apache Tomcat wpływa na przetwarzanie asynchronicznych servletów HTTP/2 i może powodować mieszanie żądań i/lub odpowiedzi między użytkownikami. Dotyczy wersji 11.0.22 do 11.0.26, 10.1.55 do 10.1.60 oraz 9.0.118 do 9.0.122.
- CVE-2026-43513Wysokie
Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.
- CVE-2026-42498Wysokie
Podatność w Apache Tomcat związana z ujawnieniem nagłówka uwierzytelniania HTTP nieoczekiwanym hostom podczas uwierzytelniania WebSocket. Dotyczy wersji od 11.0.0-M1 do 11.0.21, 10.1.0-M1 do 10.1.54, 9.0.2 do 9.0.117, 8.5.24 do 8.5.100 oraz 7.0.83 do 7.0.109.
- CVE-2026-41284Wysokie
W Apache Tomcat występuje podatność związana z alokacją zasobów bez ograniczeń lub throttlingu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54 oraz od 9.0.0.M1 do 9.0.117.
- CVE-2025-48989Wysokie
Podatność w Apache Tomcat związana z niewłaściwym zamykaniem lub zwalnianiem zasobów umożliwia atak typu 'made you reset'. Dotyczy to wersji od 11.0.0-M1 do 11.0.9, od 10.1.0-M1 do 10.1.43 oraz od 9.0.0.M1 do 9.0.107.
Oryginalny opis (angielski, źródło NVD)
A missing critical step in authentication vulnerability in Apache Tomcat when the JNDI realm was configured with with a non GSSAPI SASL authentication mechanism allowed attackers to authenticate without providing the correct password. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.26, from 10.1.0-M1 through 10.1.60, from 9.0.0.M1 through 9.0.122. The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be affected. Users are recommended to upgrade to version 11.0.27, 10.1.61 or 9.0.123, which fix the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS