CVE-2026-103119
KrytyczneCVSS 9.1Streszczenie
Podatność polegająca na niedoczytaniu bufora w Apache Tomcat powoduje, że duży zapis nieblokujący może spowodować podział treści odpowiedzi między bieżące żądanie a następne żądanie odebrane na tym samym połączeniu, co najprawdopodobniej prowadzi do błędu drugiego żądania i możliwego wycieku danych z pierwszej odpowiedzi do drugiej.
Ocena ryzyka
Może dojść do wycieku danych między odpowiedziami oraz błędów obsługi żądań na tym samym połączeniu. Stanowi to ryzyko naruszenia poufności danych.
Rekomendacja
Należy zaktualizować Apache Tomcat do wersji 11.0.27, która naprawia tę podatność.
Inne podatności w Apache Tomcat
Zobacz wszystkie- CVE-2026-93446Nieznane
Niekompletne czyszczenie w Apache Tomcat może powodować sporadyczne błędy połączeń TLS 1.3. Podatność dotyczy wersji 11.0.0-M21 do 11.0.26, 10.1.25 do 10.1.60 oraz 9.0.90 do 9.0.122.
- CVE-2026-88041Nieznane
Niekompletne czyszczenie w Apache Tomcat pozwalało na wyciek informacji z nagłówka trailer z poprzedniego żądania do kolejnego żądania. Podatność dotyczy wersji 11.0.0-M23 do 11.0.26, 10.1.27 do 10.1.60 oraz 9.0.92 do 9.0.122.
- CVE-2026-80353Nieznane
Warunek wyścigu TOCTOU w Apache Tomcat podczas tworzenia gniazd domeny unix dla konektora APR/Native pozwala nieautoryzowanemu lokalnemu użytkownikowi na dostęp do gniazda domeny unix. Poprawka dla CVE-2026-65183 dotyczyła tylko konektora NIO. Podatność dotyczy wersji 9.0.47 do 9.0.122.
- CVE-2026-74049Nieznane
Podatność Execution After Redirect (EAR) w Apache Tomcat. Dotyczy wersji 11.0.0-M1 do 11.0.26, 10.1.0-M1 do 10.1.60 oraz 9.0.0.M1 do 9.0.122; znane są również wersje EOL 8.5.0-8.5.100 i 7.0.0-7.0.109.
- CVE-2026-74048Nieznane
Podatność "Failing Open" w Apache Tomcat: jeśli OpenSSLLifecycleListener jest skonfigurowany do trybu FIPS, ale aktywacja FIPS nie powiedzie się, Tomcat loguje błąd, ale kontynuuje pracę z JSSE w trybie nie-FIPS z podaną konfiguracją. Dotyczy wersji 11.0.0-M14 do 11.0.26, 10.1.22 do 10.1.60 oraz 9.0.92 do 9.0.122.
- CVE-2026-101356Nieznane
Nieprawidłowe recykling i ponowne użycie obiektów w Apache Tomcat wpływa na przetwarzanie asynchronicznych servletów HTTP/2 i może powodować mieszanie żądań i/lub odpowiedzi między użytkownikami. Dotyczy wersji 11.0.22 do 11.0.26, 10.1.55 do 10.1.60 oraz 9.0.118 do 9.0.122.
- CVE-2026-101296Nieznane
Brak krytycznego kroku uwierzytelniania w Apache Tomcat, gdy realm JNDI był skonfigurowany z mechanizmem SASL innym niż GSSAPI, pozwalał atakującym na uwierzytelnienie bez podania prawidłowego hasła. Dotyczy wersji 11.0.0-M1 do 11.0.26, 10.1.0-M1 do 10.1.60 oraz 9.0.0.M1 do 9.0.122; znane są również wersje EOL 8.5.0-8.5.100 i 7.0.0-7.0.109.
- CVE-2026-43513Wysokie
Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.
- CVE-2026-42498Wysokie
Podatność w Apache Tomcat związana z ujawnieniem nagłówka uwierzytelniania HTTP nieoczekiwanym hostom podczas uwierzytelniania WebSocket. Dotyczy wersji od 11.0.0-M1 do 11.0.21, 10.1.0-M1 do 10.1.54, 9.0.2 do 9.0.117, 8.5.24 do 8.5.100 oraz 7.0.83 do 7.0.109.
- CVE-2026-41284Wysokie
W Apache Tomcat występuje podatność związana z alokacją zasobów bez ograniczeń lub throttlingu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54 oraz od 9.0.0.M1 do 9.0.117.
Oryginalny opis (angielski, źródło NVD)
Buffer under-read vulnerability in Apache Tomcat meant that a large non-blocking write could result in the response body being split between the current request and the next request received on that connection leading most likely to failure of the second request and possibly leakage of data from the first response to the second. This issue affects Apache Tomcat: from 11.0.0-M25 through 11.0.26. Users are recommended to upgrade to version 11.0.27, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS