CVE-2026-86246
KrytyczneCVSS 9.1Streszczenie
Podatność polegająca na inicjalizacji zasobu z niebezpiecznym domyślnym ustawieniem w Apache Tomcat Native włączała niebezpieczne opcje domyślnie, w tym ALLOW_CLIENT_RENEGOTIATION, NO_EXTENDED_MASTER_SECRET, IGNORE_UNEXPECTED_EOF i ALLOW_NO_DHE_KEX. Problem dotyczy Apache Tomcat Native od 2.0.0 do 2.0.15 oraz od 1.3.0 do 1.3.8. Zaleca się aktualizację do wersji 2.0.16 lub 1.3.9.
Ocena ryzyka
Niebezpieczne domyślne opcje mogą osłabić bezpieczeństwo połączeń TLS, umożliwiając ataki typu man-in-the-middle, degradację szyfrowania lub nieautoryzowany dostęp.
Rekomendacja
Zaleca się aktualizację Apache Tomcat Native do wersji 2.0.16 lub 1.3.9, które zawierają poprawkę.
Inne podatności w Apache Tomcat Native
Zobacz wszystkie- CVE-2026-86247Wysokie
Podatność typu wyścig (race condition) w Apache Tomcat Native umożliwia obniżenie wymagań weryfikacji certyfikatu klienta w niektórych konfiguracjach. Dotyczy wersji od 2.0.0 do 2.0.15 oraz od 1.3.0 do 1.3.8.
- CVE-2026-86243Wysokie
Podatność nadmiernego odczytu bufora (buffer over-read) w Apache Tomcat Native podczas uzgadniania TLS pozwala złośliwemu użytkownikowi wywołać DoS poprzez awarię JVM. Dotyczy wersji od 2.0.0 do 2.0.15 oraz od 1.3.0 do 1.3.8.
- CVE-2026-24734Wysokie
Podatność w Apache Tomcat Native i Apache Tomcat związana z nieprawidłową walidacją danych wejściowych podczas korzystania z respondera OCSP. Brak pełnej weryfikacji i sprawdzania świeżości odpowiedzi OCSP umożliwia ominięcie sprawdzania ważności certyfikatów.
Oryginalny opis (angielski, źródło NVD)
Initialization of a resource with an insecure default vulnerability in Apache Tomcat Native enabled insecure options by default including ALLOW_CLIENT_RENEGOTIATION, NO_EXTENDED_MASTER_SECRET, IGNORE_UNEXPECTED_EOF and ALLOW_NO_DHE_KEX. This issue affects Apache Tomcat Native: from 2.0.0 through 2.0.15, from 1.3.0 through 1.3.8. Earlier unsupported versions may also be affected. Users are recommended to upgrade to version 2.0.16 or 1.3.9, which fix the issue.