Flere sårbarheter oppdaget i Apache Tomcat

white box security camera on wall — Siarhei Horbach / Unsplash

Det har blitt avdekket flere sårbarheter i webapplikasjonsserveren Apache Tomcat. Noen av disse sårbarhetene er vurdert som "kritiske" av sikkerhetsmyndigheter.

Apache Software Foundation offentliggjorde den 20. oktober 2026, basert på CVE, åtte sårbarheter. Utviklingsteamet vurderer tre av dem som "viktige", mens de resterende fem er vurdert som "lave".

Blant de sårbarhetene som er vurdert som "viktige" er "CVE-2026-101296", som omhandler en sårbarhet i brukerautentiseringsfunksjonen. I bestemte konfigurasjoner kan det være mulig å passere autentisering uten å oppgi riktig passord.

En annen viktig sårbarhet er "CVE-2026-101356", som relaterer seg til problemer med asynkron behandling via "HTTP/2". Her er det risiko for at forespørslene og svarene fra ulike brukere blir blandet sammen i behandlingen.

Også vurdert som "viktig" er "CVE-2026-103119", som påvirker "11.0"-grenen. I kommunikasjonsmetoden "AJP" mellom webserveren og klienten, kan det oppstå en situasjon hvor en del av responsdata fra en tidligere forespørsel blandes inn i svaret på den neste forespørselen, noe som kan føre til behandlingsfeil eller datalekkasje.