CVE-2026-75973
WysokieCVSS 7.3Streszczenie
Podatność w Apache Tomcat związana z nieprawidłowym uwierzytelnianiem. Gdy Jakarta Authentication jest skonfigurowane z SimpleAuthConfigProvider jako domyślnym dostawcą i wiele aplikacji webowych używa tego dostawcy, realm pierwszej aplikacji, która uwierzytelni żądanie, będzie używany dla wszystkich aplikacji. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.0.M4-9.0.121.
Ocena ryzyka
Może to prowadzić do nieautoryzowanego dostępu do zasobów, ponieważ uwierzytelnianie może być przeprowadzane w niewłaściwym kontekście, co może naruszyć bezpieczeństwo aplikacji.
Rekomendacja
Zaleca się aktualizację do wersji 11.0.26, 10.1.60 lub 9.0.122, które naprawiają ten problem.
Inne podatności w Apache Tomcat
Zobacz wszystkie- CVE-2026-87022Wysokie
Nieprawidłowe obsłużenie niespójności parametru długości w Apache Tomcat umożliwia przemycanie wiadomości WebSocket, gdy używane jest per-message-deflate. Dotyczy wersji od 11.0.0-M1 do 11.0.25, od 10.1.0-M1 do 10.1.59, od 9.0.0.M1 do 9.0.121; znane są również wersje 8.5.0-8.5.100 i 7.0.56-7.0.109.
- CVE-2026-79677Wysokie
Podatność w Apache Tomcat powoduje utratę limitów czasu dla asynchronicznych zapisów WebSocket, co prowadzi do odmowy usługi (DoS). Problem dotyczy wielu wersji Tomcat, w tym 11.0.0-M1 do 11.0.25, 10.1.0-M1 do 10.1.59 oraz 9.0.0.M1 do 9.0.121.
- CVE-2026-78437Wysokie
Podatność w Apache Tomcat związana z niepełnym czyszczeniem zasobów może spowodować, że nieprawidłowo sformułowane żądanie (w zależności od czasu) doprowadzi do niepowodzenia jednego żądania od innego użytkownika. Dotyczy wersji 11.0.19-11.0.25, 10.1.53-10.1.59 oraz 9.0.116-9.0.121.
- CVE-2026-78383Wysokie
Podatność w Apache Tomcat polegająca na niekontrolowanym przydzielaniu zasobów umożliwia nieuwierzytelnionemu żądaniu AJP przypięcie wątku przetwarzania AJP, co prowadzi do odmowy usługi. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.0.M1-9.0.121.
- CVE-2026-77791Wysokie
Podatność w Apache Tomcat polegająca na niekontrolowanym zużyciu zasobów podczas wysyłania komunikatu zamknięcia WebSocket umożliwia atak DoS. Dotyczy wersji 11.0.0-M5-11.0.25, 10.1.8-10.1.59 oraz 9.0.74-9.0.121.
- CVE-2026-77762Wysokie
Podatność w Apache Tomcat polegająca na wyścigu (race condition) umożliwia atakującemu wstrzyknięcie pól trailer do innego żądania HTTP/2. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.39-9.0.121.
- CVE-2026-77756Niskie
Podatność na niezgodną interpretację żądań HTTP (przemyt żądań/odpowiedzi HTTP) w Apache Tomcat, spowodowana przetwarzaniem nagłówka transfer-encoding dla żądania HTTP/1.0, może pozwolić atakującemu na spowodowanie niepowodzenia jednego żądania innego użytkownika, gdy Tomcat znajduje się za odwrotnym proxy. Dotyczy wersji: od 11.0.0-M1 do 11.0.25, od 10.1.0-M1 do 10.1.59, od 9.0.47 do 9.0.121. Znane są również dotknięte wersje 8.5.67 do 8.5.100 (EOL). Zalecana aktualizacja do 11.0.26, 10.1.60 lub 9.0.122.
- CVE-2026-73581Średnie
Apache Tomcat ma podatność polegającą na nieprawidłowym sprawdzaniu odwołania certyfikatów (CRL). Implementacje TLS OpenSSL i OpenSSL-FFM ignorują listy odwołań, gdy certyfikat używa magazynu kluczy. Dotyczy to wersji 11.0.0-M1 do 11.0.25, 10.1.0-M1 do 10.1.58, 9.0.0-M1 do 9.0.121, oraz 8.5.0 do 8.5.100.
- CVE-2026-43513Wysokie
Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.
- CVE-2026-42498Wysokie
Podatność w Apache Tomcat związana z ujawnieniem nagłówka uwierzytelniania HTTP nieoczekiwanym hostom podczas uwierzytelniania WebSocket. Dotyczy wersji od 11.0.0-M1 do 11.0.21, 10.1.0-M1 do 10.1.54, 9.0.2 do 9.0.117, 8.5.24 do 8.5.100 oraz 7.0.83 do 7.0.109.
Oryginalny opis (angielski, źródło NVD)
Improper Authentication vulnerability in Apache Tomcat. When Jakarta Authentication was configured with SimpleAuthConfigProvider as the default provider and multiple web application used that provider, the realm for the first web application to authenticate a request would be used for all web applications. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M4 through 9.0.121. The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100. Other unsupported versions may also be affected. Users are recommended to upgrade to version 11.0.26, 10.1.60, 9.0.122, which fixes the issue.