リモートのRockyLinux 10ホストには、RLSA-2026:68651アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * Apache Tomcat:Apache Tomcat:不完全な修正による不適切な入力検証の脆弱性(CVE-2026-32990)

    * tomcat-coyote: Apache Tomcat: ダイジェスト認証による認証バイパス (CVE-2026-43512)

    * tomcat-coyote: Apache Tomcat: HTTP/2 リクエストヘッダーが検証されていない (CVE-2026-41293)

    * tomcat-coyote:Apache Tomcat:WebSocket 認証中の HTTP 認証ヘッダーの漏洩による情報漏洩。(CVE-2026-42498)

    * tomcat-coyote: tomcat: 不適切な認証によりセキュリティバイパスが可能 (CVE-2026-43515)

    * tomcat-catalina: Apache Tomcat: LockOutRealm における大文字小文字の区別の不適切な処理 (CVE-2026-43513)

    * tomcat:Apache Tomcat:リライトバルブの不適切なURLエンコーディングによるセキュリティ制約のバイパス(CVE-2026-59083)

    * tomcat:Apache Tomcat:EncryptInterceptor に関する不十分なドキュメントが安全でない構成につながる可能性があります(CVE-2026-59084)

Tenable は、前述の記述ブロックを RockyLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのRockyLinux 10ホストには、RLSA-2026:69259アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * Apache Tomcat:Apache Tomcat:不完全な修正による不適切な入力検証の脆弱性(CVE-2026-32990)

    * tomcat-coyote: Apache Tomcat: ダイジェスト認証による認証バイパス (CVE-2026-43512)

    * tomcat-coyote: Apache Tomcat: HTTP/2 リクエストヘッダーが検証されていない (CVE-2026-41293)

    * tomcat-coyote: Apache Tomcat: WebSocket 認証中の HTTP 認証ヘッダーの露出による情報漏洩 (CVE-2026-42498)

    * tomcat-catalina: Apache Tomcat: LockOutRealm における大文字小文字の区別の不適切な処理 (CVE-2026-43513)

    * tomcat-coyote: tomcat: 不適切な認証によりセキュリティバイパスが可能 (CVE-2026-43515)

Tenable は、前述の記述ブロックを RockyLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:22196-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    tomcat11 用のこの更新は、次の問題を修正します

    Tomcat 11.0.22に更新します。

    - CVE-2026-41284: WebDAV LOCK および PROPFIND 処理の際の無制限読み取り (bsc#1265162)。
    - CVE-2026-41293: HTTP/2 リクエストヘッダーが検証されない (bsc#1265163)。
    - CVE-2026-42498: WebSocket 認証ヘッダーのサイバーエクスポージャー (bsc#1265165)。
    - CVE-2026-43512: ダイジェスト認証システムが不明なユーザーを認証する (bsc#1265145)。
    - CVE-2026-43513: LockOutRealm がユーザー名を大文字と小文字を区別して扱う (bsc#1265166)。
    - CVE-2026-43514: AJP シークレットが非定数時間で比較される (bsc#1265167)。
    - CVE-2026-43515: セキュリティ制約が正しく適用されていない (bsc#1265168)。

    変更：

     Catalina + 追加: version.sh および version.bat を拡張し、APR、Tomcat Native、OpenSSL のバージョン情報 (APR および FFM 実装の両方)、バージョン互換性に関する警告、およびサードパーティライブラリのバージョン情報を表示するようにしました。(csutherl) コード: アクセスログ内のリモートユーザー要素の生成をリファクタリングし、不要なコードを削除しました。(markt) 修正: 以前のリリースで発生した回帰を修正しました。クエリ文字列が存在するものの空の場合、アクセスログに「?」ではなく「?-」が表示される問題を修正しました。(markt) 修正: 前提条件の失敗時に WebDAV の DELETE 操作が失敗するよう修正しました。Mahmoud Alarby による #982 の投稿。(remm) 修正: ExtendedAccessLogValve のエスケープ処理を、他の AccessLogValve 実装と一致するように修正しました。(markt) 修正: 70000: 69967 の修正後、レスポンス確定後に特殊ヘッダーが重複して追加される問題を修正しました。(remm) 修正: 認証済みすべてのユーザーを対象とする特殊な ** ロールのみを指定したセキュリティ制約にマッピングされた URI の処理を修正しました。認証なしのリクエストで、401 レスポンスではなく 403 レスポンスが返されていました。(markt) + 修正: StandardContext.getServletContext() の競合状態を修正し、コンテキストの再読み込み中に jakarta.servlet.context.tempdir 属性が失われる可能性があった問題を修正しました。context フィールドを volatile にし、ロック機構を使用して ApplicationContext のインスタンスが 1 つだけ作成されるようにしました。(dsoumis) + 修正: Windows 認証 (Kerberos) のドキュメントを更新し、Java と Windows の両方で RC4-HMAC のサポートが削除中または削除済みであることを反映しました。現在、このガイドでは AES256-SHA1 が使用されています。(markt) + 修正:WebDAV 用の新しい初期化パラメーター maxRequestBodySize を追加します。これは、LOCK および PROPFIND に対する WebDAV リクエスト本文のサイズを制限します。デフォルト値は 4096 バイトです。(markt) + 追加:ロックを決定する際にユーザー名がどのように扱われるかを制御する、新しい caseSensitive 属性を LockOutRealm に追加します。
     デフォルトは [false] で、ユーザー名は大文字と小文字を区別しない方法で扱われます。(markt) + 修正: ダイジェスト認証を持つ無効なユーザーの処理を修正しました。
     (markt) + 修正: RealmBase が、一致するすべての拡張ベースのセキュリティ制約を確実に検出するように修正しました。(markt)
     * Coyote + 修正: setHeader(String,String) または addHeader(String,String) に無効な値が設定された場合に Content-Length を介してさまざまなエッジケースが発生する問題を回避するため、新しい値が有効かどうかにかかわらず常に以前の値をクリアし、無効な新しい値を無視するように修正しました。(markt) + コード: コードの重複を削減するために、HPACK 動的ヘッダーテーブル実装における実際のインデックスの計算をリファクタリングしました。(markt) + 修正: HTTP/2 の一部の HTTP/2 ストリームエラーメッセージに関するさまざまな軽微な問題を修正しました。(markt) + 修正: 正規化時に NULL バイトを含む URI を一貫して拒否するように修正しました。
     + 修正: FFM 使用時に TLS キーと証明書を読み込む際のエラーパスにおける軽微なメモリリークをいくつか修正しました。(markt) + 修正: ストリームリセット後の GC を支援するために、HTTP/2 ヘッダーの処理後のクリーンアップをリファクタリングしました。(markt) + 修正: HTTP/2 トレーラーフィールドを HTTP/1.1 に準拠させ、トレーラーで許可されていないフィールドをフィルタリングするように修正しました。(markt) + 修正: FFM ベースのコネクター設定での使用後に秘密鍵を解放するように修正しました。
     + 修正: 有効なヘッダーが予期しない接続切断を引き起こす可能性がある HTTP/2 HPACK ヘッダーデコードにおける発生頻度の低いエッジケースの解析バグを修正しました。(markt) + 修正: エンコード処理中にヘッダーフィールド名が一度だけ小文字に変換されるように HTTP/2 HPACK エンコードをリファクタリングしました。(markt) + 修正: HTTP/2 ヘッダーフィールドの検証をより早い段階で実行されるようにリファクタリングしました。大文字の文字に加えて許可されていない文字もチェックするよう検証を拡張しました。(markt) + 修正: OpenSSL 4.0 で追加された TLS 1.3 グループを追加しました。(remm) + 修正: HTTP/2 の :scheme 疑似ヘッダーが TLS の使用 (または非使用) と一致していることを確認する検証を追加しました。(markt) + 修正: Tomcat の動作を RFC 9113 のセクション 8.5 に準拠させるため、疑似ヘッダーおよび CONNECT リクエストの検証を修正しました。(markt) + 修正: 接続レベルのウィンドウ更新から個々の HTTP/2 ストリームへのキャパシティ割り当て時の潜在的な整数オーバーフローを修正しました。Mike Tingey Jr. 氏による #996 の報告に基づいています。(markt) + 修正: AJP シークレットの比較を定数時間アルゴリズムに切り替えました。(markt)
     * WebSocket + 修正:DIGEST 認証が必要なプロキシ経由で接続が行われる、WebSocket エンドポイントへの初期接続を修正しました。
     * その他 + 修正: 69993: CDDL 1.0 ライセンスの URL を更新しました。(markt) + 追加: OpenSSL バイナリが見つからない場合に警告を追加しました。(csutherl) + 追加: Tomcat Native ライブラリのチェックを追加し、スイートで使用されていない場合に確認しやすくするため、見つからない場合に警告をログに記録するようにしました。(csutherl) + 更新: Byte Buddy を 1.18.8 に更新しました。(markt) + 更新: Bouncy Castle を 1.84 に更新しました。(markt) + 更新: フランス語翻訳を改善しました。(remm) + 更新: tak7iji による日本語翻訳を改善しました。(markt)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2675-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    tomcat 用のこの更新は、次の問題を修正します

    Tomcat 9.0.118に更新します。

    - CVE-2026-41284: WebDAV LOCK および PROPFIND 処理の際の無制限読み取り (bsc#1265162)。
    - CVE-2026-41293: HTTP/2 リクエストヘッダーが検証されない (bsc#1265163)。
    - CVE-2026-42498: WebSocket 認証ヘッダーのサイバーエクスポージャー (bsc#1265165)。
    - CVE-2026-43512: ダイジェスト認証システムが不明なユーザーを認証する (bsc#1265145)。
    - CVE-2026-43513: LockOutRealm がユーザー名を大文字と小文字を区別して扱う (bsc#1265166)。
    - CVE-2026-43514: AJP シークレットが非定数時間で比較される (bsc#1265167)。
    - CVE-2026-43515: セキュリティ制約が正しく適用されていない (bsc#1265168)。

    変更：

     Catalina + 追加: version.sh および version.bat を拡張し、APR、Tomcat Native、OpenSSL のバージョン情報 (APR および FFM 実装の両方)、バージョン互換性に関する警告、およびサードパーティライブラリのバージョン情報を表示するようにしました。(csutherl) コード: アクセスログ内のリモートユーザー要素の生成をリファクタリングし、不要なコードを削除しました。(markt) 修正: 以前のリリースで発生した回帰を修正しました。クエリ文字列が存在するものの空の場合、アクセスログに「?」ではなく「?-」が表示される問題を修正しました。(markt) 修正: 前提条件の失敗時に WebDAV の DELETE 操作が失敗するよう修正しました。Mahmoud Alarby による #982 の投稿。(remm) 修正: ExtendedAccessLogValve のエスケープ処理を、他の AccessLogValve 実装と一致するように修正しました。(markt) 修正: 70000: 69967 の修正後、レスポンス確定後に特殊ヘッダーが重複して追加される問題を修正しました。(remm) 修正: 認証済みすべてのユーザーを対象とする特殊な ** ロールのみを指定したセキュリティ制約にマッピングされた URI の処理を修正しました。認証なしのリクエストで、401 レスポンスではなく 403 レスポンスが返されていました。(markt) + 修正: StandardContext.getServletContext() の競合状態を修正し、コンテキストの再読み込み中に jakarta.servlet.context.tempdir 属性が失われる可能性があった問題を修正しました。context フィールドを volatile にし、ロック機構を使用して ApplicationContext のインスタンスが 1 つだけ作成されるようにしました。(dsoumis) + 修正: Windows 認証 (Kerberos) のドキュメントを更新し、Java と Windows の両方で RC4-HMAC のサポートが削除中または削除済みであることを反映しました。現在、このガイドでは AES256-SHA1 が使用されています。(markt) + 修正:WebDAV 用の新しい初期化パラメーター maxRequestBodySize を追加します。これは、LOCK および PROPFIND に対する WebDAV リクエスト本文のサイズを制限します。デフォルト値は 4096 バイトです。(markt) + 追加:ロックを決定する際にユーザー名がどのように扱われるかを制御する、新しい caseSensitive 属性を LockOutRealm に追加します。
     デフォルトは [false] で、ユーザー名は大文字と小文字を区別しない方法で扱われます。(markt) + 修正: ダイジェスト認証を持つ無効なユーザーの処理を修正しました。
     (markt) + 修正: RealmBase が、一致するすべての拡張ベースのセキュリティ制約を確実に検出するように修正しました。(markt)
     * Coyote + 修正: setHeader(String,String) または addHeader(String,String) に無効な値が設定された場合に Content-Length を介してさまざまなエッジケースが発生する問題を回避するため、新しい値が有効かどうかにかかわらず常に以前の値をクリアし、無効な新しい値を無視するように修正しました。(markt) + コード: コードの重複を削減するために、HPACK 動的ヘッダーテーブル実装における実際のインデックスの計算をリファクタリングしました。(markt) + 修正: HTTP/2 の一部の HTTP/2 ストリームエラーメッセージに関するさまざまな軽微な問題を修正しました。(markt) + 修正: 正規化時に NULL バイトを含む URI を一貫して拒否するように修正しました。
     + 修正: FFM 使用時に TLS キーと証明書を読み込む際のエラーパスにおける軽微なメモリリークをいくつか修正しました。(markt) + 修正: ストリームリセット後の GC を支援するために、HTTP/2 ヘッダーの処理後のクリーンアップをリファクタリングしました。(markt) + 修正: HTTP/2 トレーラーフィールドを HTTP/1.1 に準拠させ、トレーラーで許可されていないフィールドをフィルタリングするように修正しました。(markt) + 修正: FFM ベースのコネクター設定での使用後に秘密鍵を解放するように修正しました。
     + 修正: 有効なヘッダーが予期しない接続切断を引き起こす可能性がある HTTP/2 HPACK ヘッダーデコードにおける発生頻度の低いエッジケースの解析バグを修正しました。(markt) + 修正: エンコード処理中にヘッダーフィールド名が一度だけ小文字に変換されるように HTTP/2 HPACK エンコードをリファクタリングしました。(markt) + 修正: HTTP/2 ヘッダーフィールドの検証をより早い段階で実行されるようにリファクタリングしました。大文字の文字に加えて許可されていない文字もチェックするよう検証を拡張しました。(markt) + 修正: OpenSSL 4.0 で追加された TLS 1.3 グループを追加しました。(remm) + 修正: HTTP/2 の :scheme 疑似ヘッダーが TLS の使用 (または非使用) と一致していることを確認する検証を追加しました。(markt) + 修正: Tomcat の動作を RFC 9113 のセクション 8.5 に準拠させるため、疑似ヘッダーおよび CONNECT リクエストの検証を修正しました。(markt) + 修正: 接続レベルのウィンドウ更新から個々の HTTP/2 ストリームへのキャパシティ割り当て時の潜在的な整数オーバーフローを修正しました。Mike Tingey Jr. 氏による #996 の報告に基づいています。(markt) + 修正: AJP シークレットの比較を定数時間アルゴリズムに切り替えました。(markt)
     * WebSocket + 修正:DIGEST 認証が必要なプロキシ経由で接続が行われる、WebSocket エンドポイントへの初期接続を修正しました。
     * その他 + 修正: 69993: CDDL 1.0 ライセンスの URL を更新しました。(markt) + 追加: OpenSSL バイナリが見つからない場合に警告を追加しました。(csutherl) + 追加: Tomcat Native ライブラリのチェックを追加し、スイートで使用されていない場合に確認しやすくするため、見つからない場合に警告をログに記録するようにしました。(csutherl) + 更新: Byte Buddy を 1.18.8 に更新しました。(markt) + 更新: Bouncy Castle を 1.84 に更新しました。(markt) + 更新: フランス語翻訳を改善しました。(remm) + 更新: tak7iji による日本語翻訳を改善しました。(markt)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 16.04 LTS / 18.04 LTS ホストには、USN-8551-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    複数のメソッド制約が同じ HTTP メソッドを定義する場合、Tomcat が承認を不適切に処理することが判明しました。リモート攻撃者がこの問題を悪用して、承認制限をバイパスする可能性があります。(CVE-2026-43515)

    Tomcat 番号推測のサンプルアプリケーションが、ユーザー指定の入力を適切にサニタイズしていないことが発見されました。攻撃者がこの問題を利用して、悪意のあるスクリプトを注入して、クロスサイトスクリプティングを引き起こす可能性があります。(CVE-2026-50229)

    Tomcat が、特定の構成でリライトバルブの状態を不適切に評価することが判明しました。攻撃者がこの問題を利用して、再書き込みルールをバイパスし、権限のないアクセスを引き起こす可能性があります。
    (CVE-2026-53404)

    Tomcat が有効な web.xml 構成を記録する際に、特定の承認情報を不適切に省略することが判明しました。攻撃者がこの問題を利用して、承認制約を隠し、監査可能性を低下させる可能性があります。(CVE-2026-55276)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 複数のメソッド制約により、Apache Tomcat の同一拡張に対して HTTP メソッドが定義されている場合の不適切な認証の脆弱性。この問題は、11.0.0-M1から 11.0.21、10.1.0-M1から 10.1.54、 9.0.0.M1 から 9.0.117、 8.5.0 から 8.5.100、 7.0.0 から 7.0.109のApache Tomcatに影響を与えます。ユーザーは、この問題を修正するバージョン 11.0.22、 10.1.55 または 9.0.118 にアップグレードすることをお勧めします。
    (CVE-2026-43515)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES12 ホストには、SUSE-SU-2026:2299-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    tomcat 用のこの更新は、次の問題を修正します

    Tomcat 9.0.118に更新します。

    - CVE-2026-41284: WebDAV LOCK および PROPFIND 処理の際の無制限読み取り (bsc#1265162)。
    - CVE-2026-41293: HTTP/2 リクエストヘッダーが検証されない (bsc#1265163)。
    - CVE-2026-42498: WebSocket 認証ヘッダーのサイバーエクスポージャー (bsc#1265165)。
    - CVE-2026-43512: ダイジェスト認証システムが不明なユーザーを認証する (bsc#1265145)。
    - CVE-2026-43513: LockOutRealm がユーザー名を大文字と小文字を区別して扱う (bsc#1265166)。
    - CVE-2026-43514: AJP シークレットが非定数時間で比較される (bsc#1265167)。
    - CVE-2026-43515: セキュリティ制約が正しく適用されていない (bsc#1265168)。

    変更：

     Catalina + 追加: version.sh および version.bat を拡張し、APR、Tomcat Native、OpenSSL のバージョン情報 (APR および FFM 実装の両方)、バージョン互換性に関する警告、およびサードパーティライブラリのバージョン情報を表示するようにしました。(csutherl) コード: アクセスログ内のリモートユーザー要素の生成をリファクタリングし、不要なコードを削除しました。(markt) 修正: 以前のリリースで発生した回帰を修正しました。クエリ文字列が存在するものの空の場合、アクセスログに「?」ではなく「?-」が表示される問題を修正しました。(markt) 修正: 前提条件の失敗時に WebDAV の DELETE 操作が失敗するよう修正しました。Mahmoud Alarby による #982 の投稿。(remm) 修正: ExtendedAccessLogValve のエスケープ処理を、他の AccessLogValve 実装と一致するように修正しました。(markt) 修正: 70000: 69967 の修正後、レスポンス確定後に特殊ヘッダーが重複して追加される問題を修正しました。(remm) 修正: 認証済みすべてのユーザーを対象とする特殊な ** ロールのみを指定したセキュリティ制約にマッピングされた URI の処理を修正しました。認証なしのリクエストで、401 レスポンスではなく 403 レスポンスが返されていました。(markt) + 修正: StandardContext.getServletContext() の競合状態を修正し、コンテキストの再読み込み中に jakarta.servlet.context.tempdir 属性が失われる可能性があった問題を修正しました。context フィールドを volatile にし、ロック機構を使用して ApplicationContext のインスタンスが 1 つだけ作成されるようにしました。(dsoumis) + 修正: Windows 認証 (Kerberos) のドキュメントを更新し、Java と Windows の両方で RC4-HMAC のサポートが削除中または削除済みであることを反映しました。現在、このガイドでは AES256-SHA1 が使用されています。(markt) + 修正:WebDAV 用の新しい初期化パラメーター maxRequestBodySize を追加します。これは、LOCK および PROPFIND に対する WebDAV リクエスト本文のサイズを制限します。デフォルト値は 4096 バイトです。(markt) + 追加:ロックを決定する際にユーザー名がどのように扱われるかを制御する、新しい caseSensitive 属性を LockOutRealm に追加します。
     デフォルトは [false] で、ユーザー名は大文字と小文字を区別しない方法で扱われます。(markt) + 修正: ダイジェスト認証を持つ無効なユーザーの処理を修正しました。
     (markt) + 修正: RealmBase が、一致するすべての拡張ベースのセキュリティ制約を確実に検出するように修正しました。(markt)
     * Coyote + 修正: setHeader(String,String) または addHeader(String,String) に無効な値が設定された場合に Content-Length を介してさまざまなエッジケースが発生する問題を回避するため、新しい値が有効かどうかにかかわらず常に以前の値をクリアし、無効な新しい値を無視するように修正しました。(markt) + コード: コードの重複を削減するために、HPACK 動的ヘッダーテーブル実装における実際のインデックスの計算をリファクタリングしました。(markt) + 修正: HTTP/2 の一部の HTTP/2 ストリームエラーメッセージに関するさまざまな軽微な問題を修正しました。(markt) + 修正: 正規化時に NULL バイトを含む URI を一貫して拒否するように修正しました。
     + 修正: FFM 使用時に TLS キーと証明書を読み込む際のエラーパスにおける軽微なメモリリークをいくつか修正しました。(markt) + 修正: ストリームリセット後の GC を支援するために、HTTP/2 ヘッダーの処理後のクリーンアップをリファクタリングしました。(markt) + 修正: HTTP/2 トレーラーフィールドを HTTP/1.1 に準拠させ、トレーラーで許可されていないフィールドをフィルタリングするように修正しました。(markt) + 修正: FFM ベースのコネクター設定での使用後に秘密鍵を解放するように修正しました。
     + 修正: 有効なヘッダーが予期しない接続切断を引き起こす可能性がある HTTP/2 HPACK ヘッダーデコードにおける発生頻度の低いエッジケースの解析バグを修正しました。(markt) + 修正: エンコード処理中にヘッダーフィールド名が一度だけ小文字に変換されるように HTTP/2 HPACK エンコードをリファクタリングしました。(markt) + 修正: HTTP/2 ヘッダーフィールドの検証をより早い段階で実行されるようにリファクタリングしました。大文字の文字に加えて許可されていない文字もチェックするよう検証を拡張しました。(markt) + 修正: OpenSSL 4.0 で追加された TLS 1.3 グループを追加しました。(remm) + 修正: HTTP/2 の :scheme 疑似ヘッダーが TLS の使用 (または非使用) と一致していることを確認する検証を追加しました。(markt) + 修正: Tomcat の動作を RFC 9113 のセクション 8.5 に準拠させるため、疑似ヘッダーおよび CONNECT リクエストの検証を修正しました。(markt) + 修正: 接続レベルのウィンドウ更新から個々の HTTP/2 ストリームへのキャパシティ割り当て時の潜在的な整数オーバーフローを修正しました。Mike Tingey Jr. 氏による #996 の報告に基づいています。(markt) + 修正: AJP シークレットの比較を定数時間アルゴリズムに切り替えました。(markt)
     * WebSocket + 修正:DIGEST 認証が必要なプロキシ経由で接続が行われる、WebSocket エンドポイントへの初期接続を修正しました。
     * その他 + 修正: 69993: CDDL 1.0 ライセンスの URL を更新しました。(markt) + 追加: OpenSSL バイナリが見つからない場合に警告を追加しました。(csutherl) + 追加: Tomcat Native ライブラリのチェックを追加し、スイートで使用されていない場合に確認しやすくするため、見つからない場合に警告をログに記録するようにしました。(csutherl) + 更新: Byte Buddy を 1.18.8 に更新しました。(markt) + 更新: Bouncy Castle を 1.84 に更新しました。(markt) + 更新: フランス語翻訳を改善しました。(remm) + 更新: tak7iji による日本語翻訳を改善しました。(markt)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 14.04 LTS / 16.04 LTS ホストには、USN-8383-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Tomcat が DIGEST 認証を不適切に処理することが判明しました。リモート攻撃者がこの問題を悪用して、認証制限をバイパスする可能性があります。(CVE-2026-43512)

    Tomcat が LockOutRealm で大文字と小文字を正しく処理しないことが判明しました。リモートの攻撃者がこの問題を悪用して、アカウントのロックアウト保護をバイパスし秘密情報を取得する可能性があります。
    (CVE-2026-43513)

    複数のメソッド制約が同じ HTTP メソッドを定義する場合、Tomcat が承認を不適切に処理することが判明しました。リモート攻撃者がこの問題を悪用して、承認制限をバイパスする可能性があります。(CVE-2026-43515)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

CentOS Linux 7ホストには、TuxCare CENTOS7:CLSA-2026:1779366607アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - DEPRECATED: Apache Tomcat のダイジェスト認証における認証バイパスの問題の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 より前の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響します。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43512)

  - Apache Tomcat の LockOutRealm における大文字小文字の区別の不適切な処理の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43513)

  - Apache Tomcat で AJP シークレットを比較するときに観察可能なタイミング不一致の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。より古いサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43514)

  - 複数のメソッド制約により、Apache Tomcat の同一拡張に対して HTTP メソッドが定義されている場合の不適切な認証の脆弱性。この問題は、11.0.0-M1 から 11.0.21、10.1.0-M1 から 10.1.54、9.0.0.M1 から 9.0.117、8.5.0 から 8.5.100、7.0.0 から 7.0.109 の Apache Tomcat に影響します。ユーザーには、この問題が修正されているバージョン 11.0.22、10.1.55、9.0.118 へのアップグレードをお勧めします。
    (CVE-2026-43515)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 および 13 ホストには、dsa-6328 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6328-1 security@debian.org https://www.debian.org/security/Markus Koschany 2026 年 6 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : tomcat10 CVE ID : CVE-2026-24880 CVE-2026-25854 CVE-2026-29129 CVE-2026-29145 CVE-2026-29146 CVE-2026-32990 CVE-2026-34483 CVE-2026-34487 CVE-2026-34500 CVE-2026-41284 CVE-2026-41293 CVE-2026-42498 CVE-2026-43512 CVE-2026-43513 CVE-2026-43514 CVE-2026-43515

    Java ベースのウェブサーバー、サーブレットおよび JSP エンジンである Tomcat 10 において、複数のセキュリティ脆弱性が発見されました。これらは、サービス拒否、認証バイパス、機密情報の漏洩につながる可能性があります。

    現時点で問題は確認されていませんが、新しい Upstream バージョンでは、新しいオプション、制限、コードの変更が導入される可能性があり、既存のウェブアプリケーションに影響を与える場合とそうでない場合があります。詳細については、Tomcat 10 のドキュメントを参照してください。

    旧安定版 (oldstable) ディストリビューション (bookworm) では、これらの問題はバージョン 10.1.55-1~deb12u1 で修正されています。

    安定版 (stable) ディストリビューション (trixie) では、これらの問題はバージョン 10.1.55-1~deb13u1 で修正されています。

    お使いの tomcat10 パッケージをアップグレードすることを推奨します。

    tomcat10 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/tomcat10

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
348575	RockyLinux 10:tomcat9(RLSA-2026:68651)	Nessus	Rocky Linux Local Security Checks	2026/9/21	2026/9/25	medium
348785	RockyLinux 10:tomcat 更新 (重要度中)(RLSA-2026:69259)	Nessus	Rocky Linux Local Security Checks	2026/9/22	2026/9/22	medium
322911	SUSE SLES16:tomcat11/tomcat11-admin-webapps/tomcat11-doc/etc(SUSE-SU-2026:22196-1)	Nessus	SuSE Local Security Checks	2026/6/26	2026/6/26	critical
323892	SUSE SLES15: tomcat / tomcat-admin-webapps / tomcat-el-3_0-api / etc (SUSE-SU-2026:2675-1)	Nessus	SuSE Local Security Checks	2026/6/30	2026/6/30	critical
327338	Ubuntu 16.04 LTS / 18.04 LTS : Tomcat の脆弱性 (USN-8551-1)	Nessus	Ubuntu Local Security Checks	2026/7/16	2026/7/16	critical
314481	Linux Distros のパッチ未適用の脆弱性: CVE-2026-43515	Nessus	Misc.	2026/5/13	2026/9/21	critical
321012	SUSE SLES12 セキュリティ更新: tomcat (SUSE-SU-2026:2299-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	critical
318841	Ubuntu 14.04 LTS / 16.04 LTS : Tomcat の脆弱性 (USN-8383-1)	Nessus	Ubuntu Local Security Checks	2026/6/5	2026/6/10	critical
360274	CentOS Linux 7 [TuxCare] セキュリティ更新プログラム:tomcat/tomcat-admin-webapps/tomcat-docs-webapp/etcの複数の脆弱性(CENTOS7:CLSA-2026:1779366607)	Nessus	CentOS Local Security Checks	2026/10/1	2026/10/1	critical
319682	Debian dsa-6328 : libtomcat10-embed-java - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/8	2026/6/8	high

検出

プラグインの検索

medium

medium

critical

critical

critical

critical

critical

critical

critical

high