Обход аутентификации и недостаточная проверка ввода в Apache Tomcat открывают удалённый доступ к данным

В сервере приложений Apache Tomcat нашли две уязвимости с одинаковой базовой оценкой 9,8 по шкале CVSS 3.1. Ошибки получили идентификаторы CVE-2026-65637 и CVE-2026-65905 и попали в Банк данных угроз безопасности информации (BDU) под номерами BDU:2026-16142 и BDU:2026-16143. Злоумышленнику не нужны учётные данные, доступ к внутренней сети или действия пользователя. Атака выполняется удалённо, а её сложность оценивают как низкую. Под угрозой все три свойства защищаемой информации: конфиденциальность, целостность и доступность. Одну ошибку описали как недостаточную проверку вводимых данных, вторую как обход аутентификации.

Детали уязвимостей

Механика первой уязвимости относится к классу CWE-20, то есть к недостаточной проверке вводимых данных. Так называют ошибки, при которых программа принимает внешние данные, не убедившись в их корректности. Способ эксплуатации здесь простой: манипулирование ресурсами. Проще говоря, специально составленный запрос меняет ход обработки на сервере. Такой запрос выходит за границы, отведённые приложению, либо заставляет его работать с чужими данными. В результате нарушитель читает и изменяет информацию, к которой не должен иметь доступа. При неблагоприятном сценарии он останавливает сервис целиком.

Вторая уязвимость касается обхода аутентификации через захват и повтор, класс CWE-294. Аутентификация подтверждает подлинность того, кто обращается к системе. При атаке с повторением нарушитель перехватывает корректный запрос или токен доступа и предъявляет его снова. Сервер не отличает повтор от законного обращения и пропускает его. Значит, злоумышленник попадает в разделы и функции, закрытые для посторонних. Для веб-приложений это часто означает работу от имени другого пользователя или администратора. При этом подделывать пароль или взламывать хранилище учётных данных не требуется.

Tomcat - распространённая среда выполнения приложений на языке Java. Его используют как основу корпоративных порталов, систем документооборота, интеграционных решений и промежуточного программного обеспечения (слой программ, связывающий между собой разные системы). Поэтому уязвимость затрагивает не только разработчиков, но и службы эксплуатации, которые отвечают за доступность внутренних сервисов.

Уязвимы ветки Tomcat 7.0 начиная с версии 7.0.30, линия 8.5 с самого начала, ветка 9.0 вплоть до 9.0.121, ветка 10.1 до 10.1.58 и ветка 11.0 до 11.0.25. Оригинальными сборками Apache список не исчерпывается. В перечень попали Red Hat JBoss Web Server версий 6.2 и 7, Red Hat Hardened Images, Debian GNU/Linux с девятой по тринадцатую версию, Red Hat Enterprise Linux 8, 9 и 10, а также РЕД ОС 7.3 и 8.0, включённая в единый реестр российского программного обеспечения. Получается, что исправлять проблему придётся администраторам самых разных контуров, от облачных платформ до закрытых сегментов.

Обе уязвимости подтверждены производителем. Сведений о реальных атаках пока нет, а наличие готового эксплойта (вредоносного кода, использующего уязвимость) ещё уточняют. Отсутствие таких данных не отменяет срочности. Удалённый вектор без аутентификации и высокие оценки по CVSS делают эти ошибки удобной целью для массовых сканирований. Кроме того, ошибки выявили 25 августа, а значит, информация о них уже разошлась по открытым источникам.

Исправления доступны. Безопасны выпуски новее 9.0.121, 10.1.58 и 11.0.25. Обновления приходят через штатные репозитории дистрибутивов, включая Debian, Red Hat и РЕД ОС. Для ветки 7.0 стоит планировать переход на поддерживаемые версии. Порядок работ здесь простой. Сначала администратору нужно понять, где Tomcat вообще используется, поскольку он часто попадает в инфраструктуру вместе с другим программным обеспечением и не числится в описи отдельно. Затем обновляют экземпляры, доступные из интернета. Внутренние системы закрывают во вторую очередь, если они не связаны с внешними сервисами напрямую.

Оценить последствия заранее трудно. Многое зависит от того, какие данные обрабатывает конкретное приложение и как разделены права. Если сервис работает с персональными данными или платёжной информацией, утечка приводит к уведомлениям регуляторов, разбирательствам и расходам на защиту пострадавших. Отказ в обслуживании оборачивается простоем, а простой клиентских сервисов даёт прямые финансовые потери. Однако неверно считать, что проблема касается только крупных организаций. Небольшие установки обновляют реже, поэтому они дольше остаются беззащитными.

Серверы приложений остаются заметной целью для нарушителей, поскольку принимают запросы из интернета и работают с чувствительными данными. Две описанные уязвимости дают разные пути к одной цели: обход контроля доступа и обработку непроверенных данных. Исправления уже доступны, поэтому задержка с обновлением не даёт никаких преимуществ. Проверить собственные системы стоит даже тем, кто уверен, что Tomcat у него не установлен, поскольку этот компонент часто поставляется в составе другого программного обеспечения.

Детали уязвимостей

Ссылки