Apache Tomcat 10.1.0-M1 < 10.1.56 の複数の脆弱性

critical Web App Scanning プラグイン ID 115282

Language:

概要

説明

リモートホストにインストールされている Apache Tomcat のバージョンは、9.0.119 より前の 9.0.0-M1、10.1.56 より前の 10.1.0-M1、11.0.23 より前の 11.0.0-M1 です。したがって、以下の複数の脆弱性による影響を受けます。

- デフォルトサーブレットにセキュリティ制約が指定されている場合、制約の一部として構成されたメソッドまたはメソッドの省略が無視されました。(CVE-2026-55956)

- ドキュメントに反して、EncryptInterceptor はリプレイ攻撃から保護されていませんでした。(CVE-2026-55955)

- 有効なweb.xml生成における論理エラーは、特別な役割も空の承認制約も、記録される有効なweb.xmlに含まれていないことを意味していました。(CVE-2026-55276)

- FFM コネクタが無効な CRL で構成された場合、無効な CRL が無視されるため、無効な証明書が受け入れられる可能性があります。(CVE-2026-53434)

- リクエストが RewriteValve の OR チェーンの最初の条件と一致した場合、後続の非 OR 条件はスキップされ、書き換えは成功します。(CVE-2026-53404)

- ワイルドカードプロパティマッピングの使用により、内部のみであるはずの一部のプロパティがクライアントに露出され、XSS 攻撃が可能になります。(CVE-2026-50229)

スキャナーはこれらの問題を悪用しようとしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。