CVE-2026-42498

Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.

W Apache Tomcat występuje podatność związana z alokacją zasobów bez ograniczeń lub throttlingu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54 oraz od 9.0.0.M1 do 9.0.117.

Podatność w Apache Tomcat związana z niewłaściwym zamykaniem lub zwalnianiem zasobów umożliwia atak typu 'made you reset'. Dotyczy to wersji od 11.0.0-M1 do 11.0.9, od 10.1.0-M1 do 10.1.43 oraz od 9.0.0.M1 do 9.0.107.

Implementacja HTTP/2 w Apache Tomcat od wersji 9.0.0.M1 do 9.0.0.M21 oraz od 8.5.0 do 8.5.15 omijała szereg zabezpieczeń, które zapobiegały atakom typu directory traversal. Możliwe było obejście ograniczeń bezpieczeństwa przy użyciu specjalnie skonstruowanego URL.

Parser nagłówków HTTP/2 w Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M11 oraz od 8.5.0 do 8.5.6 wchodził w nieskończoną pętlę, gdy otrzymał nagłówek większy niż dostępny bufor. To umożliwiało przeprowadzenie ataku typu denial of service.

Mechanizm stron błędów w specyfikacji Java Servlet wymaga, aby oryginalne żądanie i odpowiedź były przekazywane do strony błędu. W przypadku statycznych plików, oczekiwane zachowanie to obsługa treści pliku jak w przypadku żądania GET, co nie było realizowane w Apache Tomcat w wersjach 9.0.0.M1 do 9.0.0.M20, 8.5.0 do 8.5.14, 8.0.0.RC1 do 8.0.43 oraz 7.0.0 do 7.0.77.

W Apache Tomcat w wersjach od 9.0.0.M1 do 9.0.0.M18 oraz od 8.5.0 do 8.5.12, obsługa ramki GOAWAY w protokole HTTP/2 nie zamykała strumieni związanych z połączeniem, które czekały na WINDOW_UPDATE, co mogło prowadzić do wyczerpania dostępnych wątków przetwarzania.

Błąd w obsłudze żądań pipelined w Apache Tomcat powoduje utratę żądania, gdy przetwarzanie pliku send file dla poprzedniego żądania zostanie zakończone. Może to prowadzić do sytuacji, w której odpowiedzi są wysyłane dla niewłaściwych żądań.

Kod w Apache Tomcat w wersjach od 6.0.0 do 9.0.0.M11 pozwalał na parsowanie linii żądania HTTP z nieprawidłowymi znakami. Może to być wykorzystane w połączeniu z proxy, które również akceptuje te znaki, do wstrzykiwania danych do odpowiedzi HTTP.

Odkryto błąd programistyczny w przetwarzaniu żądań HTTPS w silniku serwletów i JSP Apache Tomcat, który może prowadzić do odmowy usługi z powodu nieskończonej pętli. Problem ten wynika z niepoprawnego przeniesienia poprawki CVE-2016-6816 bez uwzględnienia poprawki dla błędu Tomcat 57544.