Apache Tomcat: Mehrere Schwachstellen
WID-SEC-2026-1514 · primera publicación 13.05.2026 · actualizado 13.10.2026 · CVSS 9,8
De qué se trata
Apache Tomcat ist ein Web-Applikationsserver für verschiedene Plattformen. Ein Angreifer kann mehrere Schwachstellen in Apache Tomcat ausnutzen, um Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, Daten zu manipulieren, einen Denial-of-Service-Zustand herbeizuführen oder andere, nicht spezifizierte bezeichnete Angriffe durchzuführen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Sicherheitsmaßnahmen zu umgehen
- vertrauliche Informationen offenzulegen
- Daten zu manipulieren
- einen Denial-of-Service-Zustand herbeizuführen oder andere
- nicht spezifizierte bezeichnete Angriffe durchzuführen
¿Me afecta?
Afectados según el BSI:
- Dell NetWorker
- Debian Linux
- Amazon Linux 2
- IBM Power Hardware Management Console
- Red Hat Enterprise Linux
- Ubuntu Linux
- SUSE Linux
- IBM QRadar SIEM
- SUSE openSUSE
- Dell Avamar
- Broadcom Brocade SANnav
- Apache Tomcat <9.0.118
y 6 más
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Apache Tomcat 9.0.118
- Apache Tomcat 10.1.55
- Apache Tomcat 11.0.22
- Dell Secure Connect Gateway 5.36.00.16
- Absolute Secure Access 14.60
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- SUSE Security Update SUSE-SU-2026:2675-1 vom 2026-06-29 lists.suse.com
- openSUSE Security Update OPENSUSE-SU-2026:21122-1 vom 2026-06-30 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:21117-1 vom 2026-06-30 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:21121-1 vom 2026-06-30 lists.opensuse.org
- IBM Security Bulletin 7278738 vom 2026-07-01 www.ibm.com
- Tomcat 9.0.118 Changelog vom 2026-05-12 tomcat.apache.org
- Tomcat 10.1.55 Changelog vom 2026-05-12 tomcat.apache.org
- Tomcat 11.0.22 Changelog vom 2026-05-12 tomcat.apache.org
- CVE-2026-41284: Apache Tomcat: Unbounded read in WebDAV LOCK and PROPFIND handling vom 2026-05-12 seclists.org
- CVE-2026-41293: Apache Tomcat: HTTP/2 request headers not validated vom 2026-05-12 seclists.org
- CVE-2026-42498: Apache Tomcat: WebSocket authentication header exposure vom 2026-05-12 seclists.org
- CVE-2026-43512: Apache Tomcat: Digest authenticator will authenticate any unknown user vom 2026-05-12 seclists.org
- CVE-2026-43513: Apache Tomcat: LockOutRealm treats user names as case-sensitive vom 2026-05-12 seclists.org
- CVE-2026-43514: Apache Tomcat: AJP secret compared in non-constant time vom 2026-05-12 seclists.org
- CVE-2026-43515: Apache Tomcat: Security constraints not correctly applied vom 2026-05-12 seclists.org
- Red Hat Security Advisory RHSA-2026:13745 vom 2026-05-28 access.redhat.com
- Red Hat Security Advisory RHSA-2026:16528 vom 2026-05-28 access.redhat.com
- openSUSE Security Update OPENSUSE-SU-2026:10926-1 vom 2026-06-05 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:10927-1 vom 2026-06-05 lists.opensuse.org
- Debian Security Advisory DLA-4619 vom 2026-06-07 lists.debian.org
- openSUSE Security Update OPENSUSE-SU-2026:10925-1 vom 2026-06-05 lists.opensuse.org
- Amazon Linux Security Advisory ALAS2TOMCAT9-2026-026 vom 2026-06-08 alas.aws.amazon.com
- SUSE Security Update SUSE-SU-2026:2299-1 vom 2026-06-08 lists.suse.com
- Debian Security Advisory DSA-6329 vom 2026-06-08 security-tracker.debian.org
- Debian Security Advisory DSA-6328 vom 2026-06-08 security-tracker.debian.org
y 38 fuentes más en el aviso original
CVE: CVE-2026-41284, CVE-2026-41293, CVE-2026-42498, CVE-2026-43512, CVE-2026-43513, CVE-2026-43514, CVE-2026-43515
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.