CVE-2026-86247
WysokieCVSS 7.4Streszczenie
Podatność typu wyścig (race condition) w Apache Tomcat Native umożliwia obniżenie wymagań weryfikacji certyfikatu klienta w niektórych konfiguracjach. Dotyczy wersji od 2.0.0 do 2.0.15 oraz od 1.3.0 do 1.3.8.
Ocena ryzyka
Może to pozwolić na akceptację nieprawidłowych certyfikatów klienta, co osłabia bezpieczeństwo wzajemnego uwierzytelniania TLS.
Rekomendacja
Zaktualizuj Apache Tomcat Native do wersji 2.0.16 lub 1.3.9, które zawierają poprawkę.
Inne podatności w Apache Tomcat Native
Zobacz wszystkie- CVE-2026-86243Wysokie
Podatność nadmiernego odczytu bufora (buffer over-read) w Apache Tomcat Native podczas uzgadniania TLS pozwala złośliwemu użytkownikowi wywołać DoS poprzez awarię JVM. Dotyczy wersji od 2.0.0 do 2.0.15 oraz od 1.3.0 do 1.3.8.
- CVE-2026-86246Krytyczne
Podatność polegająca na inicjalizacji zasobu z niebezpiecznym domyślnym ustawieniem w Apache Tomcat Native włączała niebezpieczne opcje domyślnie, w tym ALLOW_CLIENT_RENEGOTIATION, NO_EXTENDED_MASTER_SECRET, IGNORE_UNEXPECTED_EOF i ALLOW_NO_DHE_KEX. Problem dotyczy Apache Tomcat Native od 2.0.0 do 2.0.15 oraz od 1.3.0 do 1.3.8. Zaleca się aktualizację do wersji 2.0.16 lub 1.3.9.
- CVE-2026-24734Wysokie
Podatność w Apache Tomcat Native i Apache Tomcat związana z nieprawidłową walidacją danych wejściowych podczas korzystania z respondera OCSP. Brak pełnej weryfikacji i sprawdzania świeżości odpowiedzi OCSP umożliwia ominięcie sprawdzania ważności certyfikatów.
Oryginalny opis (angielski, źródło NVD)
Race condition within a thread vulnerability in Apache Tomcat Native allowed client certificate verification requirements to be down-graded for some configurations. This issue affects Apache Tomcat Native: from 2.0.0 through 2.0.15, from 1.3.0 through 1.3.8. Unsupported versions may also be affected. Users are recommended to upgrade to version 2.0.16 or 1.3.9, which fixes the issue.