Acht Sicherheitsanfälligkeiten bei Apache Tomcat entdeckt

white security camera on post — Pawel Czerwinski / Unsplash

Bei dem Webanwendungsserver "Apache Tomcat" wurden mehrere Sicherheitsanfälligkeiten festgestellt. Einige dieser Anfälligkeiten wurden von Sicherheitsbehörden als "kritisch" eingestuft.

Die Apache Software Foundation hat am 20. Oktober 2026, nach lokaler Zeit, acht Sicherheitsanfälligkeiten auf Basis von CVE veröffentlicht. Das Entwicklungsteam eingestuft drei dieser Anfälligkeiten als "wichtig" und die verbleibenden fünf als "gering".

Die Anfälligkeit, die als "wichtig" eingestuft wird, umfasst "CVE-2026-101296", die ein Problem mit der Benutzerauthentifizierungsfunktion darstellt. In bestimmten Konfigurationen, die eine spezifische Authentifizierungsmethode verwenden, besteht das Risiko, dass die Authentifizierung ohne die Eingabe des richtigen Passworts erfolgreich ist.

Ein weiteres Problem ist "CVE-2026-101356", das bei der asynchronen Verarbeitung durch "HTTP/2" auftritt. Hier besteht die Gefahr, dass die Anfragen und Antworten verschiedener Benutzer vermischt verarbeitet werden.

Ebenfalls als "wichtig" eingestuft ist "CVE-2026-103119", das die "11.0"-Zweig betrifft. Bei der Kommunikationsmethode "AJP", die zwischen dem Webserver und dem Client verwendet wird, kann es beim nicht-blockierenden Schreiben einer großen Menge an Antwortdaten dazu kommen, dass Teile der Antwortdaten der vorherigen Anfrage in die Antwort der nächsten Anfrage gelangen. Dies könnte zu Verarbeitungsfehlern oder Datenlecks führen.