CVE-2026-80353
NieznaneStreszczenie
Warunek wyścigu TOCTOU w Apache Tomcat podczas tworzenia gniazd domeny unix dla konektora APR/Native pozwala nieautoryzowanemu lokalnemu użytkownikowi na dostęp do gniazda domeny unix. Poprawka dla CVE-2026-65183 dotyczyła tylko konektora NIO. Podatność dotyczy wersji 9.0.47 do 9.0.122.
Ocena ryzyka
Lokalny nieautoryzowany użytkownik może uzyskać dostęp do gniazda domeny unix, co może prowadzić do nieuprawnionego dostępu do usługi.
Rekomendacja
Zaktualizuj Apache Tomcat do wersji 9.0.123.
Inne podatności w Apache Tomcat
Zobacz wszystkie- CVE-2026-93446Nieznane
Niekompletne czyszczenie w Apache Tomcat może powodować sporadyczne błędy połączeń TLS 1.3. Podatność dotyczy wersji 11.0.0-M21 do 11.0.26, 10.1.25 do 10.1.60 oraz 9.0.90 do 9.0.122.
- CVE-2026-88041Nieznane
Niekompletne czyszczenie w Apache Tomcat pozwalało na wyciek informacji z nagłówka trailer z poprzedniego żądania do kolejnego żądania. Podatność dotyczy wersji 11.0.0-M23 do 11.0.26, 10.1.27 do 10.1.60 oraz 9.0.92 do 9.0.122.
- CVE-2026-74049Nieznane
Podatność Execution After Redirect (EAR) w Apache Tomcat. Dotyczy wersji 11.0.0-M1 do 11.0.26, 10.1.0-M1 do 10.1.60 oraz 9.0.0.M1 do 9.0.122; znane są również wersje EOL 8.5.0-8.5.100 i 7.0.0-7.0.109.
- CVE-2026-74048Nieznane
Podatność "Failing Open" w Apache Tomcat: jeśli OpenSSLLifecycleListener jest skonfigurowany do trybu FIPS, ale aktywacja FIPS nie powiedzie się, Tomcat loguje błąd, ale kontynuuje pracę z JSSE w trybie nie-FIPS z podaną konfiguracją. Dotyczy wersji 11.0.0-M14 do 11.0.26, 10.1.22 do 10.1.60 oraz 9.0.92 do 9.0.122.
- CVE-2026-101356Nieznane
Nieprawidłowe recykling i ponowne użycie obiektów w Apache Tomcat wpływa na przetwarzanie asynchronicznych servletów HTTP/2 i może powodować mieszanie żądań i/lub odpowiedzi między użytkownikami. Dotyczy wersji 11.0.22 do 11.0.26, 10.1.55 do 10.1.60 oraz 9.0.118 do 9.0.122.
- CVE-2026-101296Nieznane
Brak krytycznego kroku uwierzytelniania w Apache Tomcat, gdy realm JNDI był skonfigurowany z mechanizmem SASL innym niż GSSAPI, pozwalał atakującym na uwierzytelnienie bez podania prawidłowego hasła. Dotyczy wersji 11.0.0-M1 do 11.0.26, 10.1.0-M1 do 10.1.60 oraz 9.0.0.M1 do 9.0.122; znane są również wersje EOL 8.5.0-8.5.100 i 7.0.0-7.0.109.
- CVE-2026-43513Wysokie
Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.
- CVE-2026-42498Wysokie
Podatność w Apache Tomcat związana z ujawnieniem nagłówka uwierzytelniania HTTP nieoczekiwanym hostom podczas uwierzytelniania WebSocket. Dotyczy wersji od 11.0.0-M1 do 11.0.21, 10.1.0-M1 do 10.1.54, 9.0.2 do 9.0.117, 8.5.24 do 8.5.100 oraz 7.0.83 do 7.0.109.
- CVE-2026-41284Wysokie
W Apache Tomcat występuje podatność związana z alokacją zasobów bez ograniczeń lub throttlingu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54 oraz od 9.0.0.M1 do 9.0.117.
- CVE-2025-48989Wysokie
Podatność w Apache Tomcat związana z niewłaściwym zamykaniem lub zwalnianiem zasobów umożliwia atak typu 'made you reset'. Dotyczy to wersji od 11.0.0-M1 do 11.0.9, od 10.1.0-M1 do 10.1.43 oraz od 9.0.0.M1 do 9.0.107.
Oryginalny opis (angielski, źródło NVD)
Time-of-check time-of-use (TOCTOU) race condition vulnerability in Apache Tomcat when creating unix domain sockets for the APR/Native connector allows an unauthorised local user to access the unix domain socket. The fix for CVE-2026-65183 only addressed the NIO connector. It did not address the same issue in the APR/Native connector. This issue affects Apache Tomcat: from 9.0.47 through 9.0.122. Users are recommended to upgrade to version 9.0.123, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS