Ocho vulnerabilidades afectan al servidor de aplicaciones Apache Tomcat

Two white security cameras mounted on a pole against a clear blue sky — Michał Jakubowski / Unsplash

El servidor de aplicaciones web Apache Tomcat presenta ocho nuevas vulnerabilidades de seguridad que han sido confirmadas oficialmente. La Fundación Apache Software hizo público este hallazgo el veinte de octubre de dos mil veintiséis, detallando fallos que podrían comprometer la integridad de los sistemas que utilizan este software.

El equipo de desarrollo ha clasificado tres de estos defectos con un nivel de importancia alto, mientras que las cinco restantes han recibido una calificación de baja severidad. A pesar de que la mayoría son menores, la presencia de errores críticos genera preocupación entre los administradores de sistemas que gestionan infraestructuras web.

Una de las fallas graves, identificada como CVE-dos mil veintiséis guion bajo uno cero uno dos nueve seis, reside en la función de autenticación de usuarios. En configuraciones que emplean métodos específicos, existe el riesgo de que un atacante pueda superar la verificación de seguridad sin necesidad de proporcionar la contraseña correcta.

Otro problema significativo, registrado como CVE-dos mil veintiséis guion bajo uno cero uno tres cinco seis, afecta al procesamiento asíncrono mediante el protocolo HTTP versión dos. Este error podría provocar que las solicitudes y respuestas de diferentes usuarios se mezclen durante su gestión, lo que derivaría en un comportamiento erróneo del servidor.

La tercera vulnerabilidad crítica, conocida como CVE-dos mil veintiséis guion bajo uno cero tres uno uno nueve, impacta específicamente a la rama once punto cero del software. Este fallo ocurre en el protocolo AJP al escribir grandes volúmenes de datos de respuesta de forma no bloqueante, causando que información de una petición anterior se filtre en la respuesta de una solicitud posterior, lo que puede resultar en fugas de datos o fallos en el procesamiento.