Apache Tomcat допускает вход без пароля и смешивает ответы разных пользователей

Восемь уязвимостей в Apache Tomcat получили исправления в версиях 11.0.27, 10.1.61 и 9.0.123. Apache Software Foundation оценила три проблемы как Important, пять как Low. Уведомления вышли 20 октября 2026 года. Затронуты все три поддерживаемые ветки, но каждая проблема проявляется только при определённых настройках. Сведений об эксплуатации в реальных атаках в уведомлениях нет.

Состав исправлений Tomcat 11.0.27, 10.1.61 и 9.0.123

Обход аутентификации CVE-2026-101296 работает в JNDIRealm, области аутентификации через службу каталогов, если выбран механизм SASL, отличный от GSSAPI. Из-за пропущенного шага проверки пароль не сверяется с каталогом, поэтому вход выполняется без верных учётных данных. Вектор сетевой, аутентификация не требуется. Диапазон широкий: ветка 11 от 11.0.0-M1 до 11.0.26, ветка 10.1 от 10.1.0-M1 до 10.1.60, ветка 9.0 от 9.0.0.M1 до 9.0.122. JNDIRealm настраивают реже, чем стандартные области аутентификации, зато ограничений по версии при его использовании нет.

В ветке 11.0 уязвимость CVE-2026-103119 касается AJP-коннектора, протокола связи Tomcat с внешним веб-сервером. Недостаточное чтение буфера при большой неблокирующей записи делит тело ответа между текущим и следующим запросом одного соединения. Обычно второй запрос завершается ошибкой, но данные первого ответа тоже могут уйти второму получателю. Затронуты версии 11.0.0-M25-11.0.26. Асинхронная обработка сервлетов по HTTP/2 добавляет третью важную проблему. Сервлет здесь - Java-компонент обработки запроса. После ошибки объекты возвращаются в пул и используются повторно, поэтому запросы и ответы разных пользователей смешиваются. Диапазоны шире: 11.0.22-11.0.26, 10.1.55-10.1.60 и 9.0.118-9.0.122.

Низкие оценки за сокеты, FIPS и Jasper

Пять проблем получили оценку Low, и для них решающее значение имеет конфигурация. Состояние гонки при создании Unix-сокетов через коннектор APR/Native даёт локальному пользователю доступ к сокету. Unix-сокет - локальная точка обмена между процессами на одном хосте. Проверка прав и их выдача идут раздельно, и промежуток между ними использует локальный пользователь. Предыдущее исправление закрыло ту же проблему только для коннектора NIO, поэтому APR/Native остаётся уязвимым в 9.0.47-9.0.122. Реализация тега перенаправления в Jasper не прерывает обработку страницы, и остаток документа выполняется после редиректа. Сбой активации FIPS, режима соответствия криптографическому стандарту, приводит к записи ошибки в журнал и к дальнейшей работе через JSSE без FIPS. Две оставшиеся проблемы связаны с неполной очисткой: соединения TLS 1.3 рвутся прерывисто, а трейлерные заголовки HTTP/2 (заголовки после тела сообщения) переносятся в следующий запрос.

Версии исправления и проверка после обновления

Исправление выходит в трёх версиях, и выбор зависит от ветки. Версия 11.0.27 закрывает все восемь уязвимостей. В 10.1.61 и 9.0.123 входит семь, поскольку AJP-проблема существует только в 11.0. Для Unix-сокетов достаточно 9.0.123. Отдельных патчей под одну уязвимость вендор не выпускает, поэтому обновление ставят целиком. После установки проверяют вход через JNDIRealm, изоляцию ответов в HTTP/2 и AJP, права на Unix-сокеты, поведение перенаправления и фактический режим FIPS. Настройки FIPS проверяют отдельно: при сбое активации Tomcat продолжает работу без него и пишет в журнал только ошибку.

Основной риск связан с обходом аутентификации. Проблема действует во всех трёх ветках, не требует аутентификации и полностью снимает проверку пароля. Остальные уязвимости проявляются при включённых AJP, HTTP/2, APR/Native или FIPS. Низкие оценки ограничены локальным доступом и сбоями обработки запросов.

Состав исправлений Tomcat 11.0.27, 10.1.61 и 9.0.123

Низкие оценки за сокеты, FIPS и Jasper

Версии исправления и проверка после обновления

Ссылки