Apache Tomcat 11.0.x < 11.0.26 多種弱點

critical Web App Scanning Plugin ID 115547

語言:

概要

說明

根據其自行報告的版本號，遠端主機上安裝的 Apache Tomcat 版本在之前是 9.0.0.M19.0.12210.1.0-M1 10.1.60之前，或是之前的 11.0.0-M1 11.0.26之前。因此，會受到多個弱點影響：

- 長度參數的處理不當允許在使用 per-message-deflate 時走私 WebSocket 訊息。（CVE-2026-87022）

- 修正中的迴歸 CVE-2026-41293 所導致的 HTTP/2 要求解譯不一致，可能會觸發要求標頭混淆。（CVE-2026-86350）

- 修正 CVE-2026-34500 不完整：停用 OCSP 軟失敗時，在某些使用 FFM 的情況下，CLIENT_CERT 驗證不會如預期失敗。（CVE-2026-86248）

- 由於並行錯誤，攻擊者可能會因為非同步 WebSocket 寫入的逾時遺失而觸發拒絕服務。（CVE-2026-79677）

- 格式錯誤的 HTTP/2 要求可能會導致其他使用者的要求失敗，視時間而定。（CVE-2026-78437）

- 如果終端使用者未提供要求本文，則可能會釘選 AJP 處理執行緒，進而導致拒絕服務。（CVE-2026-78383）

- 傳送 WebSocket 關閉訊息期間的忙碌等待會啟用拒絕服務攻擊。（CVE-2026-77791）

- 涉及過時 HPACK 發射端的爭用情形允許攻擊者將尾部欄位插入其他使用者的 HTTP/2 要求。（CVE-2026-77762）

- 當 Tomcat 位於反向 Proxy 後方時，處理 HTTP/1.0 要求的 Transfer-Encoding 標頭可能允許攻擊者導致來自其他使用者的要求失敗。（CVE-2026-77756）

- 請求路徑被錯誤地剖析為端點範本，從而允許繞過 WebSocket 端點的安全限制。（CVE-2026-76183）

- 將 Jakarta Authentication 配置為 SimpleAuthConfigProvider 作為預設提供者，且多個 Web 應用程式使用該提供者時，第一個驗證要求的 Web 應用程式的網域範圍會用於所有 Web 應用程式。（CVE-2026-75973）

- 當憑證使用金鑰儲存庫時，OpenSSL 及 OpenSSL-FFM TLS 實作都會忽略 CRL。（CVE-2026-73581）

請注意，掃描程式並未嘗試利用這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。