リモートホストにインストールされている Apache Tomcat のバージョンは、9.0.118 より前の 9.0.0-M1、10.1.55 より前の 10.1.0-M1、11.0.22 より前の 11.0.0-M1 です。したがって、以下の複数の脆弱性による影響を受けます。

 - 複数のセキュリティ制約が、同じ拡張パターンに対して HTTP メソッド制約を定義すると、最初のメソッド制約のみが適用されていました。(CVE-2026-43515)

 - AJP シークレットが一定でない時間で比較され、ローカルネットワーク上の攻撃者がタイミング攻撃を仕掛けて AJP シークレットを判断する可能性があります。(CVE-2026-43514)

 - LockOut Realm ではユーザー名の大文字小文字が区別されていたため、ユーザー名の大文字小文字を区別しないレルムにおいて、ユーザーのパスワードに対するブルートフォース攻撃をブロックする効果を低下させていました。(CVE-2026-43513)

 - DIGEST 認証が設定されている場合、設定された Realm で知られていないユーザーが、パスワード「null」を提示した場合に認証されます。(CVE-2026-43512)

 - WebSocket リクエストが認証後にリダイレクトされた場合、Tomcat の WebSocket クライアントは、最新の認証ヘッダーをリダイレクトターゲットホストに提示します。(CVE-2026-42498)

 - HTTP/2 リクエストヘッダーが検証されていませんでした。これにより、アプリケーションが Servlet API を通じて漏洩されたヘッダー値が仕様に準拠していると想定した場合、予期しないアプリケーションの動作が引き起こされる可能性があります。(CVE-2026-41293)

 - 認証されていないユーザーが利用できる WebDAV LOCK または PROPFIND リクエストのリクエスト本文に制限はありませんでした。(CVE-2026-41284)

スキャナーはこれらの問題を悪用しようとしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Tomcat のバージョンは 11.0.22より前です。したがって、fixed_in_apache_tomcat_11.0.22_security-11のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - DEPRECATED: Apache Tomcat のダイジェスト認証における認証バイパスの問題の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 より前の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響します。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43512)

  - 複数のメソッド制約により、Apache Tomcat の同一拡張に対して HTTP メソッドが定義されている場合の不適切な認証の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43515)

  - Apache Tomcat で AJP シークレットを比較するときに観察可能なタイミング不一致の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43514)

  - Apache Tomcat の LockOutRealm における大文字小文字の区別の不適切な処理の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43513)

  - Apache Tomcat での WebSocket 認証の際に、予期しないホストへの HTTP 認証ヘッダーの漏洩の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.2 から 9.0.117、8.5.24 から 8.5.100、7.0.83 から 7.0.109 の Apache Tomcat に影響します。ユーザーには、この問題を修正したバージョン 11.0.22、10.1.55、または 9.0.118 へのアップグレードをお勧めします。(CVE-2026-42498)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Tomcat のバージョンは 10.1.55より前です。したがって、fixed_in_apache_tomcat_10.1.55_security-10 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - DEPRECATED: Apache Tomcat のダイジェスト認証における認証バイパスの問題の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 より前の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響します。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43512)

  - 複数のメソッド制約により、Apache Tomcat の同一拡張に対して HTTP メソッドが定義されている場合の不適切な認証の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43515)

  - Apache Tomcat で AJP シークレットを比較するときに観察可能なタイミング不一致の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43514)

  - Apache Tomcat の LockOutRealm における大文字小文字の区別の不適切な処理の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43513)

  - Apache Tomcat での WebSocket 認証の際に、予期しないホストへの HTTP 認証ヘッダーの漏洩の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.2 から 9.0.117、8.5.24 から 8.5.100、7.0.83 から 7.0.109 の Apache Tomcat に影響します。ユーザーには、この問題を修正したバージョン 11.0.22、10.1.55、または 9.0.118 へのアップグレードをお勧めします。(CVE-2026-42498)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache TomcatでAJPシークレットを比較するときに観察可能なタイミング不一致の脆弱性。この問題は、11.0.0-M1から 11.0.21、10.1.0-M1から 10.1.54、 9.0.0.M1 から 9.0.117、 8.5.0 から 8.5.100、 7.0.0 から 7.0.109のApache Tomcatに影響を与えます。サポートされていない古いバージョンも、影響を受ける可能性があります。ユーザーは、この問題を修正するバージョン 11.0.22、 10.1.55 または 9.0.118 にアップグレードすることをお勧めします。
    (CVE-2026-43514)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている Tomcat のバージョンは 9.0.118より前です。したがって、fixed_in_apache_tomcat_9.0.118_security-9 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - DEPRECATED: Apache Tomcat のダイジェスト認証における認証バイパスの問題の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 より前の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響します。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43512)

  - 複数のメソッド制約により、Apache Tomcat の同一拡張に対して HTTP メソッドが定義されている場合の不適切な認証の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43515)

  - Apache Tomcat で AJP シークレットを比較するときに観察可能なタイミング不一致の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43514)

  - Apache Tomcat の LockOutRealm における大文字小文字の区別の不適切な処理の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43513)

  - Apache Tomcat での WebSocket 認証の際に、予期しないホストへの HTTP 認証ヘッダーの漏洩の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.2 から 9.0.117、8.5.24 から 8.5.100、7.0.83 から 7.0.109 の Apache Tomcat に影響します。ユーザーには、この問題を修正したバージョン 11.0.22、10.1.55、または 9.0.118 へのアップグレードをお勧めします。(CVE-2026-42498)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115239	Apache Tomcat 10.1.0-M1 < 10.1.55 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/5/20	2026/5/20	critical
115240	Apache Tomcat 9.0.0-M1 < 9.0.118 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/5/20	2026/5/20	critical
115238	Apache Tomcat 11.0.0-M1 < 11.0.22 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/5/20	2026/5/20	critical
316002	Apache Tomcat 11.0.0.M1< 11.0.22の複数の脆弱性	Nessus	Web Servers	2026/5/21	2026/5/26	critical
314335	Apache Tomcat 10.1.0.M1< 10.1.55の複数の脆弱性	Nessus	Web Servers	2026/5/12	2026/5/26	critical
314467	Linux Distros のパッチ未適用の脆弱性: CVE-2026-43514	Nessus	Misc.	2026/5/13	2026/5/13	low
314334	Apache Tomcat 9.0.0.M1< 9.0.118の複数の脆弱性	Nessus	Web Servers	2026/5/12	2026/5/26	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

low

critical