Apache Tomcat: Mehrere Schwachstellen
WID-SEC-2026-1514 · première publication 13.05.2026 · mise à jour 13.10.2026 · CVSS 9,8
De quoi il s’agit
Apache Tomcat ist ein Web-Applikationsserver für verschiedene Plattformen. Ein Angreifer kann mehrere Schwachstellen in Apache Tomcat ausnutzen, um Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, Daten zu manipulieren, einen Denial-of-Service-Zustand herbeizuführen oder andere, nicht spezifizierte bezeichnete Angriffe durchzuführen.
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- Sicherheitsmaßnahmen zu umgehen
- vertrauliche Informationen offenzulegen
- Daten zu manipulieren
- einen Denial-of-Service-Zustand herbeizuführen oder andere
- nicht spezifizierte bezeichnete Angriffe durchzuführen
Suis-je concerné ?
Concernés selon le BSI :
- Dell NetWorker
- Debian Linux
- Amazon Linux 2
- IBM Power Hardware Management Console
- Red Hat Enterprise Linux
- Ubuntu Linux
- SUSE Linux
- IBM QRadar SIEM
- SUSE openSUSE
- Dell Avamar
- Broadcom Brocade SANnav
- Apache Tomcat <9.0.118
et 6 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Apache Tomcat 9.0.118
- Apache Tomcat 10.1.55
- Apache Tomcat 11.0.22
- Dell Secure Connect Gateway 5.36.00.16
- Absolute Secure Access 14.60
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- SUSE Security Update SUSE-SU-2026:2675-1 vom 2026-06-29 lists.suse.com
- openSUSE Security Update OPENSUSE-SU-2026:21122-1 vom 2026-06-30 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:21117-1 vom 2026-06-30 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:21121-1 vom 2026-06-30 lists.opensuse.org
- IBM Security Bulletin 7278738 vom 2026-07-01 www.ibm.com
- Tomcat 9.0.118 Changelog vom 2026-05-12 tomcat.apache.org
- Tomcat 10.1.55 Changelog vom 2026-05-12 tomcat.apache.org
- Tomcat 11.0.22 Changelog vom 2026-05-12 tomcat.apache.org
- CVE-2026-41284: Apache Tomcat: Unbounded read in WebDAV LOCK and PROPFIND handling vom 2026-05-12 seclists.org
- CVE-2026-41293: Apache Tomcat: HTTP/2 request headers not validated vom 2026-05-12 seclists.org
- CVE-2026-42498: Apache Tomcat: WebSocket authentication header exposure vom 2026-05-12 seclists.org
- CVE-2026-43512: Apache Tomcat: Digest authenticator will authenticate any unknown user vom 2026-05-12 seclists.org
- CVE-2026-43513: Apache Tomcat: LockOutRealm treats user names as case-sensitive vom 2026-05-12 seclists.org
- CVE-2026-43514: Apache Tomcat: AJP secret compared in non-constant time vom 2026-05-12 seclists.org
- CVE-2026-43515: Apache Tomcat: Security constraints not correctly applied vom 2026-05-12 seclists.org
- Red Hat Security Advisory RHSA-2026:13745 vom 2026-05-28 access.redhat.com
- Red Hat Security Advisory RHSA-2026:16528 vom 2026-05-28 access.redhat.com
- openSUSE Security Update OPENSUSE-SU-2026:10926-1 vom 2026-06-05 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:10927-1 vom 2026-06-05 lists.opensuse.org
- Debian Security Advisory DLA-4619 vom 2026-06-07 lists.debian.org
- openSUSE Security Update OPENSUSE-SU-2026:10925-1 vom 2026-06-05 lists.opensuse.org
- Amazon Linux Security Advisory ALAS2TOMCAT9-2026-026 vom 2026-06-08 alas.aws.amazon.com
- SUSE Security Update SUSE-SU-2026:2299-1 vom 2026-06-08 lists.suse.com
- Debian Security Advisory DSA-6329 vom 2026-06-08 security-tracker.debian.org
- Debian Security Advisory DSA-6328 vom 2026-06-08 security-tracker.debian.org
et 38 autres sources dans l’avis original
CVE: CVE-2026-41284, CVE-2026-41293, CVE-2026-42498, CVE-2026-43512, CVE-2026-43513, CVE-2026-43514, CVE-2026-43515
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.