CVE-2026-77756
NiskieCVSS 3.7Streszczenie
Podatność na niezgodną interpretację żądań HTTP (przemyt żądań/odpowiedzi HTTP) w Apache Tomcat, spowodowana przetwarzaniem nagłówka transfer-encoding dla żądania HTTP/1.0, może pozwolić atakującemu na spowodowanie niepowodzenia jednego żądania innego użytkownika, gdy Tomcat znajduje się za odwrotnym proxy. Dotyczy wersji: od 11.0.0-M1 do 11.0.25, od 10.1.0-M1 do 10.1.59, od 9.0.47 do 9.0.121. Znane są również dotknięte wersje 8.5.67 do 8.5.100 (EOL). Zalecana aktualizacja do 11.0.26, 10.1.60 lub 9.0.122.
Ocena ryzyka
Atakujący może zakłócić działanie aplikacji webowych, powodując błędy w żądaniach innych użytkowników, co może prowadzić do niedostępności usług lub naruszenia integralności sesji.
Rekomendacja
Zaleca się aktualizację Apache Tomcat do wersji 11.0.26, 10.1.60 lub 9.0.122, które zawierają poprawkę.
Inne podatności w Apache Tomcat
Zobacz wszystkie- CVE-2026-87022Wysokie
Nieprawidłowe obsłużenie niespójności parametru długości w Apache Tomcat umożliwia przemycanie wiadomości WebSocket, gdy używane jest per-message-deflate. Dotyczy wersji od 11.0.0-M1 do 11.0.25, od 10.1.0-M1 do 10.1.59, od 9.0.0.M1 do 9.0.121; znane są również wersje 8.5.0-8.5.100 i 7.0.56-7.0.109.
- CVE-2026-79677Wysokie
Podatność w Apache Tomcat powoduje utratę limitów czasu dla asynchronicznych zapisów WebSocket, co prowadzi do odmowy usługi (DoS). Problem dotyczy wielu wersji Tomcat, w tym 11.0.0-M1 do 11.0.25, 10.1.0-M1 do 10.1.59 oraz 9.0.0.M1 do 9.0.121.
- CVE-2026-78437Wysokie
Podatność w Apache Tomcat związana z niepełnym czyszczeniem zasobów może spowodować, że nieprawidłowo sformułowane żądanie (w zależności od czasu) doprowadzi do niepowodzenia jednego żądania od innego użytkownika. Dotyczy wersji 11.0.19-11.0.25, 10.1.53-10.1.59 oraz 9.0.116-9.0.121.
- CVE-2026-78383Wysokie
Podatność w Apache Tomcat polegająca na niekontrolowanym przydzielaniu zasobów umożliwia nieuwierzytelnionemu żądaniu AJP przypięcie wątku przetwarzania AJP, co prowadzi do odmowy usługi. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.0.M1-9.0.121.
- CVE-2026-77791Wysokie
Podatność w Apache Tomcat polegająca na niekontrolowanym zużyciu zasobów podczas wysyłania komunikatu zamknięcia WebSocket umożliwia atak DoS. Dotyczy wersji 11.0.0-M5-11.0.25, 10.1.8-10.1.59 oraz 9.0.74-9.0.121.
- CVE-2026-77762Wysokie
Podatność w Apache Tomcat polegająca na wyścigu (race condition) umożliwia atakującemu wstrzyknięcie pól trailer do innego żądania HTTP/2. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.39-9.0.121.
- CVE-2026-75973Wysokie
Podatność w Apache Tomcat związana z nieprawidłowym uwierzytelnianiem. Gdy Jakarta Authentication jest skonfigurowane z SimpleAuthConfigProvider jako domyślnym dostawcą i wiele aplikacji webowych używa tego dostawcy, realm pierwszej aplikacji, która uwierzytelni żądanie, będzie używany dla wszystkich aplikacji. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.0.M4-9.0.121.
- CVE-2026-73581Średnie
Apache Tomcat ma podatność polegającą na nieprawidłowym sprawdzaniu odwołania certyfikatów (CRL). Implementacje TLS OpenSSL i OpenSSL-FFM ignorują listy odwołań, gdy certyfikat używa magazynu kluczy. Dotyczy to wersji 11.0.0-M1 do 11.0.25, 10.1.0-M1 do 10.1.58, 9.0.0-M1 do 9.0.121, oraz 8.5.0 do 8.5.100.
- CVE-2026-43513Wysokie
Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.
- CVE-2026-42498Wysokie
Podatność w Apache Tomcat związana z ujawnieniem nagłówka uwierzytelniania HTTP nieoczekiwanym hostom podczas uwierzytelniania WebSocket. Dotyczy wersji od 11.0.0-M1 do 11.0.21, 10.1.0-M1 do 10.1.54, 9.0.2 do 9.0.117, 8.5.24 do 8.5.100 oraz 7.0.83 do 7.0.109.
Oryginalny opis (angielski, źródło NVD)
Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') vulnerability in Apache Tomcat caused by processing the transfer-encoding header for an HTTP/1.0 request may allow an attacker to cause one request from another user to fail when Tomcat is located behind a reverse proxy. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.47 through 9.0.121. The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.67 through 8.5.100. Other unsupported versions may also be affected. Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue.