CVE-2026-86248

Nieprawidłowe obsłużenie niespójności parametru długości w Apache Tomcat umożliwia przemycanie wiadomości WebSocket, gdy używane jest per-message-deflate. Dotyczy wersji od 11.0.0-M1 do 11.0.25, od 10.1.0-M1 do 10.1.59, od 9.0.0.M1 do 9.0.121; znane są również wersje 8.5.0-8.5.100 i 7.0.56-7.0.109.

Podatność w Apache Tomcat powoduje utratę limitów czasu dla asynchronicznych zapisów WebSocket, co prowadzi do odmowy usługi (DoS). Problem dotyczy wielu wersji Tomcat, w tym 11.0.0-M1 do 11.0.25, 10.1.0-M1 do 10.1.59 oraz 9.0.0.M1 do 9.0.121.

Podatność w Apache Tomcat związana z niepełnym czyszczeniem zasobów może spowodować, że nieprawidłowo sformułowane żądanie (w zależności od czasu) doprowadzi do niepowodzenia jednego żądania od innego użytkownika. Dotyczy wersji 11.0.19-11.0.25, 10.1.53-10.1.59 oraz 9.0.116-9.0.121.

Podatność w Apache Tomcat polegająca na niekontrolowanym przydzielaniu zasobów umożliwia nieuwierzytelnionemu żądaniu AJP przypięcie wątku przetwarzania AJP, co prowadzi do odmowy usługi. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.0.M1-9.0.121.

Podatność w Apache Tomcat polegająca na niekontrolowanym zużyciu zasobów podczas wysyłania komunikatu zamknięcia WebSocket umożliwia atak DoS. Dotyczy wersji 11.0.0-M5-11.0.25, 10.1.8-10.1.59 oraz 9.0.74-9.0.121.

Podatność w Apache Tomcat polegająca na wyścigu (race condition) umożliwia atakującemu wstrzyknięcie pól trailer do innego żądania HTTP/2. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.39-9.0.121.

Podatność na niezgodną interpretację żądań HTTP (przemyt żądań/odpowiedzi HTTP) w Apache Tomcat, spowodowana przetwarzaniem nagłówka transfer-encoding dla żądania HTTP/1.0, może pozwolić atakującemu na spowodowanie niepowodzenia jednego żądania innego użytkownika, gdy Tomcat znajduje się za odwrotnym proxy. Dotyczy wersji: od 11.0.0-M1 do 11.0.25, od 10.1.0-M1 do 10.1.59, od 9.0.47 do 9.0.121. Znane są również dotknięte wersje 8.5.67 do 8.5.100 (EOL). Zalecana aktualizacja do 11.0.26, 10.1.60 lub 9.0.122.

Podatność w Apache Tomcat związana z nieprawidłowym uwierzytelnianiem. Gdy Jakarta Authentication jest skonfigurowane z SimpleAuthConfigProvider jako domyślnym dostawcą i wiele aplikacji webowych używa tego dostawcy, realm pierwszej aplikacji, która uwierzytelni żądanie, będzie używany dla wszystkich aplikacji. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.0.M4-9.0.121.

Apache Tomcat ma podatność polegającą na nieprawidłowym sprawdzaniu odwołania certyfikatów (CRL). Implementacje TLS OpenSSL i OpenSSL-FFM ignorują listy odwołań, gdy certyfikat używa magazynu kluczy. Dotyczy to wersji 11.0.0-M1 do 11.0.25, 10.1.0-M1 do 10.1.58, 9.0.0-M1 do 9.0.121, oraz 8.5.0 do 8.5.100.

Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.