Osiem luk bezpieczeństwa w Apache Tomcat

assorted-color security cameras — Lianhao Qu / Unsplash

W dniu 20 października 2026 roku, Apache Software Foundation ogłosiła wykrycie ośmiu luk bezpieczeństwa w serwerze aplikacji internetowych Apache Tomcat. Część z tych luk została oceniona przez instytucje zabezpieczeń jako 'krytyczna'.

Zespół deweloperski sklasyfikował trzy z tych luk jako 'ważne', podczas gdy pozostałe pięć otrzymało ocenę 'niską'. W przypadku luk ocenionych jako 'ważne', jedna z nich, oznaczona jako 'CVE-2026-101296', dotyczy funkcji uwierzytelniania użytkowników, co może pozwolić na przejście procesu autoryzacji bez podawania prawidłowego hasła w określonych konfiguracjach.

Inna luka, 'CVE-2026-101356', dotyczy problemu w asynchronicznym przetwarzaniu związanym z protokołem 'HTTP/2'. Istnieje ryzyko, że żądania i odpowiedzi różnych użytkowników będą przetwarzane w sposób mieszany. Kolejna ważna luka, 'CVE-2026-103119', wpływa na wersję '11.0'. W systemie komunikacji 'AJP', podczas zapisywania dużych ilości danych odpowiedzi w sposób nieblokujący, istnieje ryzyko, że część danych odpowiedzi z poprzedniego żądania może być mieszana z odpowiedzią na następne żądanie, co może prowadzić do awarii przetwarzania lub wycieku informacji.