Podatności Apache Tomcat

Podatność w Apache Tomcat polegająca na wyścigu (race condition) umożliwia atakującemu wstrzyknięcie pól trailer do innego żądania HTTP/2. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.39-9.0.121.

Podatność na niezgodną interpretację żądań HTTP (przemyt żądań/odpowiedzi HTTP) w Apache Tomcat, spowodowana przetwarzaniem nagłówka transfer-encoding dla żądania HTTP/1.0, może pozwolić atakującemu na spowodowanie niepowodzenia jednego żądania innego użytkownika, gdy Tomcat znajduje się za odwrotnym proxy. Dotyczy wersji: od 11.0.0-M1 do 11.0.25, od 10.1.0-M1 do 10.1.59, od 9.0.47 do 9.0.121. Znane są również dotknięte wersje 8.5.67 do 8.5.100 (EOL). Zalecana aktualizacja do 11.0.26, 10.1.60 lub 9.0.122.

Podatność w Apache Tomcat związana z nieprawidłowym uwierzytelnianiem. Gdy Jakarta Authentication jest skonfigurowane z SimpleAuthConfigProvider jako domyślnym dostawcą i wiele aplikacji webowych używa tego dostawcy, realm pierwszej aplikacji, która uwierzytelni żądanie, będzie używany dla wszystkich aplikacji. Dotyczy wersji 11.0.0-M1-11.0.25, 10.1.0-M1-10.1.59 oraz 9.0.0.M4-9.0.121.

W Apache Tomcat występuje nieprawidłowe sprawdzanie unieważnienia certyfikatów. Zarówno implementacje TLS OpenSSL, jak i OpenSSL-FFM ignorują listy CRL, gdy certyfikat korzysta z keystore. Problem dotyczy wersji od 11.0.0-M1 do 11.0.25, od 10.1.0-M1 do 10.1.59, od 9.0.0-M1 do 9.0.121 oraz (EOL) od 8.5.0 do 8.5.100.

Niewystarczające wygasanie sesji w Apache Tomcat: jeśli identyfikator sesji uwierzytelnionej sesji HTTP został zmieniony po ustanowieniu połączenia WebSocket w ramach tej sesji, sesja WebSocket nie została zamknięta po zakończeniu sesji HTTP, co narusza specyfikację Jakarta WebSocket.

Nieograniczona konsumpcja zasobów w Apache Tomcat przez wyciek alokacji w śledzeniu backlogu HTTP/2, gdy strumień jest resetowany.

Niewłaściwe uwierzytelnianie w Apache Tomcat: w niektórych okolicznościach (np. CLIENT-CERT, SPNEGO) użytkownik był uwierzytelniany, nawet jeśli nie istniał w DataSourceRealm.

Niewłaściwa autoryzacja w Apache Tomcat spowodowana nieprawidłowym użyciem definicji security-role-ref jako aliasów ról w Realm, oprócz poprawnego użycia z Request.isUserInRole().

Błąd off-by-one w Apache Tomcat wpływający na flagę [N] w zaworach przepisywania powoduje, że przetwarzanie przepisywania rozpoczyna się od drugiej reguły zamiast od pierwszej.

Podatność typu TOCTOU (Time-of-check Time-of-use) w Apache Tomcat podczas tworzenia gniazd domeny unix, umożliwiająca nieautoryzowanemu lokalnemu użytkownikowi dostęp do gniazda. Dotyczy wersji od 11.0.0-M1 do 11.0.24, od 10.1.0-M1 do 10.1.57 oraz od 9.0.42 do 9.0.120.

W Apache Tomcat w przykładowej aplikacji WebSocket występuje podatność na niekontrolowane zużycie zasobów. Problem dotyczy wersji 11.0.0-M20 do 11.0.24, 10.1.24 do 10.1.57 oraz 9.0.89 do 9.0.120.

W Apache Tomcat wykryto brak krytycznego kroku uwierzytelniania w JNDIRealm podczas korzystania z GSSAPI. Atakujący może uwierzytelnić się bez podania poprawnego hasła.

Podatność nieprawidłowej autoryzacji w Apache Tomcat powoduje, że ograniczenia bezpieczeństwa dla domyślnego serwletu ignorują skonfigurowane metody HTTP lub ich pominięcie. Problem dotyczy wielu wersji Tomcat od 7.0.0 do 11.0.22.

Podatność w Apache Tomcat umożliwia atak typu replay na komponent EncryptionInterceptor w klastrze. Luka wynika z nieprawidłowego uwierzytelniania, co pozwala atakującemu na ponowne wykorzystanie przechwyconych danych.

W Apache Tomcat w mechanizmie rewrite valve wykryto podatność polegającą na nieprawidłowej implementacji przepływu sterowania. Powoduje ona, że gdy pierwszy warunek w łańcuchu OR jest spełniony, pomijane są kolejne warunki niebędące częścią OR.

Apache Tomcat ma lukę polegającą na obserwowalnej rozbieżności czasowej podczas porównywania sekretu AJP. Luka dotyczy wersji 11.0.0-M1–11.0.21, 10.1.0-M1–10.1.54, 9.0.0.M1–9.0.117, 8.5.0–8.5.100 oraz 7.0.0–7.0.109.

Podatność związana z niewłaściwym traktowaniem wielkości liter w LockOutRealm w Apache Tomcat może prowadzić do nieautoryzowanego dostępu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 8.5.0 do 8.5.100 oraz od 7.0.0 do 7.0.109.

Podatność w Apache Tomcat związana z ujawnieniem nagłówka uwierzytelniania HTTP nieoczekiwanym hostom podczas uwierzytelniania WebSocket. Dotyczy wersji od 11.0.0-M1 do 11.0.21, 10.1.0-M1 do 10.1.54, 9.0.2 do 9.0.117, 8.5.24 do 8.5.100 oraz 7.0.83 do 7.0.109.

W Apache Tomcat występuje podatność związana z alokacją zasobów bez ograniczeń lub throttlingu. Dotyczy to wersji od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54 oraz od 9.0.0.M1 do 9.0.117.

Uwierzytelnianie CLIENT_CERT w Apache Tomcat nie kończy się niepowodzeniem zgodnie z oczekiwaniami w niektórych scenariuszach, gdy soft fail jest wyłączony i używany jest FFM. Problem dotyczy Apache Tomcat w wersjach od 11.0.0-M14 do 11.0.20, od 10.1.22 do 10.1.53 oraz od 9.0.92 do 9.0.116.

Podatność nieprawidłowej walidacji danych wejściowych w Apache Tomcat wynikająca z niekompletnej poprawki CVE-2025-66614. Dotyczy Apache Tomcat w wersjach od 11.0.15 do 11.0.19, od 10.1.50 do 10.1.52 oraz od 9.0.113 do 9.0.115.

W Apache Tomcat w komponencie LoadBalancerDrainingValve występuje podatność typu Open Redirect, umożliwiająca przekierowanie użytkownika na niezaufaną witrynę. Problem dotyczy wersji 11.0.0-M1 do 11.0.18, 10.1.0-M1 do 10.1.52, 9.0.0.M23 do 9.0.115 oraz 8.5.30 do 8.5.100.

W Apache Tomcat występuje podatność polegająca na niewłaściwym zwalnianiu zasobów. Podczas przetwarzania przesyłania wieloczęściowego, jeśli wystąpi błąd, tymczasowe kopie przesłanych części nie są natychmiast usuwane, lecz pozostawiane do usunięcia przez garbage collector. Może to prowadzić do wyczerpania miejsca na dysku i ataku DoS.

W Apache Tomcat w wersjach 9.0.70 do 9.0.80 oraz 8.5.85 do 8.5.93 wewnętrzny fork Commons FileUpload zawierał nieukończony refactoring, który ujawnił potencjalną odmowę usługi w systemie Windows, jeśli aplikacja internetowa otworzyła strumień do przesłanego pliku, ale nie zamknęła go. Plik nigdy nie zostałby usunięty z dysku, co mogłoby ostatecznie doprowadzić do zapełnienia dysku i odmowy usługi.

W Apache Tomcat wystąpiła regresja w poprawce dla błędu 66512, która powoduje, że w przypadku braku nagłówków HTTP w odpowiedzi, nie zostanie wysłana wiadomość AJP SEND_HEADERS. To prowadzi do wykorzystania nagłówków odpowiedzi z poprzedniego żądania przez co najmniej jeden proxy AJP (mod_proxy_ajp), co skutkuje wyciekiem informacji.

Podatność w pakietach Tomcat dla systemów SUSE wynika z nieprawidłowych domyślnych uprawnień, co pozwala lokalnemu atakującemu z grupy tomcat na eskalację uprawnień do roota. Problem dotyczy wielu wersji SUSE Linux Enterprise Server, SUSE Enterprise Storage oraz SUSE OpenStack Cloud.

Podatność w Apache Tomcat z włączonym JMX Remote Lifecycle Listener. Lokalny atakujący bez dostępu do procesu Tomcat lub plików konfiguracyjnych może manipulować rejestrem RMI, aby przeprowadzić atak man-in-the-middle i przechwycić nazwy użytkowników oraz hasła używane do dostępu do interfejsu JMX. Następnie może uzyskać pełną kontrolę nad instancją Tomcat.