CVE-2026-74049

Niekompletne czyszczenie w Apache Tomcat może powodować sporadyczne błędy połączeń TLS 1.3. Podatność dotyczy wersji 11.0.0-M21 do 11.0.26, 10.1.25 do 10.1.60 oraz 9.0.90 do 9.0.122.

Niekompletne czyszczenie w Apache Tomcat pozwalało na wyciek informacji z nagłówka trailer z poprzedniego żądania do kolejnego żądania. Podatność dotyczy wersji 11.0.0-M23 do 11.0.26, 10.1.27 do 10.1.60 oraz 9.0.92 do 9.0.122.

Warunek wyścigu TOCTOU w Apache Tomcat podczas tworzenia gniazd domeny unix dla konektora APR/Native pozwala nieautoryzowanemu lokalnemu użytkownikowi na dostęp do gniazda domeny unix. Poprawka dla CVE-2026-65183 dotyczyła tylko konektora NIO. Podatność dotyczy wersji 9.0.47 do 9.0.122.

Podatność "Failing Open" w Apache Tomcat: jeśli OpenSSLLifecycleListener jest skonfigurowany do trybu FIPS, ale aktywacja FIPS nie powiedzie się, Tomcat loguje błąd, ale kontynuuje pracę z JSSE w trybie nie-FIPS z podaną konfiguracją. Dotyczy wersji 11.0.0-M14 do 11.0.26, 10.1.22 do 10.1.60 oraz 9.0.92 do 9.0.122.

Nieprawidłowe recykling i ponowne użycie obiektów w Apache Tomcat wpływa na przetwarzanie asynchronicznych servletów HTTP/2 i może powodować mieszanie żądań i/lub odpowiedzi między użytkownikami. Dotyczy wersji 11.0.22 do 11.0.26, 10.1.55 do 10.1.60 oraz 9.0.118 do 9.0.122.

Brak krytycznego kroku uwierzytelniania w Apache Tomcat, gdy realm JNDI był skonfigurowany z mechanizmem SASL innym niż GSSAPI, pozwalał atakującym na uwierzytelnienie bez podania prawidłowego hasła. Dotyczy wersji 11.0.0-M1 do 11.0.26, 10.1.0-M1 do 10.1.60 oraz 9.0.0.M1 do 9.0.122; znane są również wersje EOL 8.5.0-8.5.100 i 7.0.0-7.0.109.

Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.

Podatność w Apache Tomcat związana z ujawnieniem nagłówka uwierzytelniania HTTP nieoczekiwanym hostom podczas uwierzytelniania WebSocket. Dotyczy wersji od 11.0.0-M1 do 11.0.21, 10.1.0-M1 do 10.1.54, 9.0.2 do 9.0.117, 8.5.24 do 8.5.100 oraz 7.0.83 do 7.0.109.

W Apache Tomcat występuje podatność związana z alokacją zasobów bez ograniczeń lub throttlingu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54 oraz od 9.0.0.M1 do 9.0.117.

Podatność w Apache Tomcat związana z niewłaściwym zamykaniem lub zwalnianiem zasobów umożliwia atak typu 'made you reset'. Dotyczy to wersji od 11.0.0-M1 do 11.0.9, od 10.1.0-M1 do 10.1.43 oraz od 9.0.0.M1 do 9.0.107.