Amazon Linux 2 : tomcat (ALASTOMCAT9-2026-029)
critical Nessus プラグイン ID 365264
Language:
概要
リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされている tomcat のバージョンは 9.0.122-1 より前です。したがって、ALAS2TOMCAT9-2026-029 のアドバイザリに記載されている複数の脆弱性の影響を受けます。Apache Tomcatの証明書失効の脆弱性に対する不適切なチェック。証明書がキーストアを使用する場合、OpenSSL および OpenSSL-FFM TLS 実装の両方が CRL を無視します。
この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.58 まで、9.0.0-M1 から 9.0.121 まで。
次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。
ユーザーには、この問題を修正した、バージョン 11.0.26、10.1.59、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-73581)
Apache Tomcatの不適切な認証の脆弱性。Jakarta 認証が SimpleAuthConfigProvider をデフォルトプロバイダーとして設定し、複数の Web アプリケーションがこのプロバイダーを使用した場合、リクエストを認証する最初の Web アプリケーションのレルムがすべての Web アプリケーションに使用されることになります。
この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M4 から 9.0.121 まで。
次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。
ユーザーには、この問題を修正した、バージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-75973)
Apache Tomcatの代替名による認証バイパスの脆弱性により、任意のWebSocketエンドポイントのセキュリティ制約がバイパスされる可能性があります。
この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。
CVE作成当時はEOSでしたが、影響を受けることが知られているバージョンは、 8.5.0 から 8.5.100まで、 7.0.43 から 7.0.109までです。その他のサポートされないバージョンにも影響する可能性があります。
ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-76183)
HTTP リクエストの一貫性のない解釈(「HTTP リクエスト/応答のスマグリング」)の脆弱性は、Tomcat がリバースプロキシの背後にある場合、HTTP/1.0 リクエストの transfer-encoding ヘッダーを処理することによって発生する、Apache Tomcat の脆弱性によって、攻撃者が別のユーザーからの 1 つのリクエストを失敗させる可能性があります。
この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.47 から 9.0.121 まで。
次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.67 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。
ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-77756)
Apache Tomcatの不適切な同期(「競合状態」)による共有リソースを使用した同時実行の脆弱性により、攻撃者がトレーラーフィールドを別のHTTP/2リクエストに挿入する可能性があります。
この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.39 から 9.0.121 まで。
CVE作成時点では EOL でしたが、影響を受けることが知られている次のバージョンは、 8.5.59 から 8.5.100 までです。その他のサポートされないバージョンにも影響する可能性があります。
ユーザーは、この問題を修正するバージョン 11.0.26、 10.1.60、 9.0.122 にアップグレードすることをお勧めします。
(CVE-2026-77762)
WebSocketクローズメッセージの送信中のApache Tomcatの制御されていないリソース消費の脆弱性により、DoS攻撃が引き起こされました。
この問題は、11.0.0-M5 から 11.0.25、 10.1.8 から 10.1.59、 9.0.74 から 9.0.121 のApache Tomcatに影響を与えます。
次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.88 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。
ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-77791)
Apache Tomcat の制限のないリソース割り当てまたはスロットリングの脆弱性により、認証されていない AJP リクエストが AJP 処理スレッドをピン留めし、サービス拒否を引き起こす可能性があります。
この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。
次のバージョンは CVE の作成時には EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100、7.0.0 から 7.0.109。その他のサポートされないバージョンにも影響する可能性があります。
ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-78383)
Apache Tomcat の不完全なクリーンアップの脆弱性により、無効な形式のリクエストが、(タイミングによっては)別のユーザーからのあるリクエストを失敗させる可能性があります。
この問題は、Apache Tomcat: 11.0.19 から 11.0.25 まで、10.1.53 から 10.1.59 まで、9.0.116 から 9.0.121 までに影響します。
ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-78437)
有効期間後にリソースが解放されない、 Apache Tomcatの誤った要因を使用した比較の脆弱性により、非同期WebSocket書き込みのタイムアウトが失われた結果としてサービス拒否が発生する可能性があります。
この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。
次のバージョンは CVE の作成時には EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100、7.0.43 から 7.0.109。その他のサポートされないバージョンにも影響する可能性があります。
ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-79677)
CLIENT_CERT Apache Tomcatでソフトフェイルが無効になっているとき、一部のシナリオで想定どおりに認証が失敗しない脆弱性があります。
この問題は、11.0.0-M14 から 11.0.25 まで、10.1.22 から 10.1.59 まで、9.0.92 から 9.0.121 までの Apache Tomcat に影響します。
ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-86248)
CVE-2026-41293 の修正における回帰によって引き起こされる Apache Tomcat における HTTP/2 リクエスト(「HTTP リクエスト/応答スマグリング」)の脆弱性の一貫性のない解釈により、リクエストヘッダーの混同を引き起こす可能性があります。
この問題は、Apache Tomcat: 11.0.22 から 11.0.25 まで、10.1.55 から 10.1.59 まで、9.0.118 から 9.0.121 までに影響します。
ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
(CVE-2026-86350)
Apache Tomcat の長さパラメーターの不適切な処理の不一致の脆弱性により、per-message-deflate 使用時に WebSocket メッセージのスマグリングが可能になります。
この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。
次のバージョンは CVE の作成時には EOS でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100、7.0.56 から 7.0.109。その他のサポートされないバージョンにも影響する可能性があります。
ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.1.22 へのアップグレードをお勧めします。
(CVE-2026-87022)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「yum update tomcat」または「yum update --advisory ALAS2TOMCAT9-2026-029」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2/ALAS2TOMCAT9-2026-029.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-73581.html
https://explore.alas.aws.amazon.com/CVE-2026-75973.html
https://explore.alas.aws.amazon.com/CVE-2026-76183.html
https://explore.alas.aws.amazon.com/CVE-2026-77756.html
https://explore.alas.aws.amazon.com/CVE-2026-77762.html
https://explore.alas.aws.amazon.com/CVE-2026-77791.html
https://explore.alas.aws.amazon.com/CVE-2026-78383.html
https://explore.alas.aws.amazon.com/CVE-2026-78437.html
https://explore.alas.aws.amazon.com/CVE-2026-79677.html
https://explore.alas.aws.amazon.com/CVE-2026-86248.html
プラグインの詳細
深刻度: Critical
ID: 365264
ファイル名: al2_ALASTOMCAT9-2026-029.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/10/12
更新日: 2026/10/12
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.36
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-86248
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:tomcat-admin-webapps, p-cpe:/a:amazon:linux:tomcat-docs-webapp, p-cpe:/a:amazon:linux:tomcat-el-3.0-api, p-cpe:/a:amazon:linux:tomcat-jsp-2.3-api, p-cpe:/a:amazon:linux:tomcat-jsvc, p-cpe:/a:amazon:linux:tomcat-lib, p-cpe:/a:amazon:linux:tomcat-servlet-4.0-api, p-cpe:/a:amazon:linux:tomcat-webapps, p-cpe:/a:amazon:linux:tomcat
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/12
脆弱性公開日: 2026/9/15
参照情報
CVE: CVE-2026-73581, CVE-2026-75973, CVE-2026-76183, CVE-2026-77756, CVE-2026-77762, CVE-2026-77791, CVE-2026-78383, CVE-2026-78437, CVE-2026-79677, CVE-2026-86248, CVE-2026-86350, CVE-2026-87022
IAVA: 2026-A-1039