Apache Tomcat 9.0.0.M1< 9.0.122の複数の脆弱性

critical Nessus プラグイン ID 349472

Language:

概要

リモートの Apache Tomcat サーバーは、複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされている Tomcat のバージョンは 9.0.122より前です。したがって、fixed_in_apache_tomcat_9.0.122_security-9のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- CLIENT_CERT ソフトフェイルが無効になっている場合でも、一部のシナリオで想定通りに認証が失敗しない Apache Tomcatの脆弱性。この問題は、11.0.0-M14 から 11.0.25 まで、10.1.22 から 10.1.59 まで、9.0.92 から 9.0.121 までの Apache Tomcat に影響します。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、または 9.0.122 へのアップグレードをお勧めします。(CVE-2026-86248)

- Apache Tomcat の制限のないリソース割り当てまたはスロットリング脆弱性により、認証されていない AJP リクエストが AJP 処理スレッドにピン留めし、サービス拒否を引き起こす可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。次のバージョンは CVE の作成時には EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100、7.0.0 から 7.0.109。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-78383)

- Apache Tomcat での証明書失効脆弱性の不適切なチェック。証明書がキーストアを使用する場合、OpenSSL および OpenSSL-FFM TLS 実装の両方が CRL を無視します。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.58 まで、9.0.0-M1 から 9.0.121 まで。次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.26、10.1.59、9.0.122 へのアップグレードをお勧めします。(CVE-2026-73581)

- Apache Tomcat での不適切な認証の脆弱性。Jakarta 認証が SimpleAuthConfigProvider をデフォルトプロバイダーとして設定し、複数の Web アプリケーションがこのプロバイダーを使用していた場合、リクエストを最初に認証する Web アプリケーションのレルムがすべての Web アプリケーションに使用されることになります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M4 から 9.0.121 まで。次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。(CVE-2026-75973)

- Apache Tomcat の代替名による認証バイパスの脆弱性により、任意の WebSocket エンドポイントのセキュリティ制約がバイパスされる可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。CVE作成当時はEOSでしたが、影響を受けることがわかっているバージョンは、 8.5.0 から 8.5.100まで、 7.0.43 から 7.0.109までです。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、または 9.0.122 へのアップグレードをお勧めします。(CVE-2026-76183)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。