Apacheは、Tomcatに存在する8件の脆弱性を公表しました。認証バイパスのほか、ユーザー間でのデータ漏えい、安全でないソケットへのアクセス、暗号設定の不備などが含まれます。
このうち3件は深刻度「Important（重要）」、5件は「Low（低）」と評価されています。修正版は、影響を受けるバージョンのブランチに応じて、Tomcat 11.0.27、10.1.61、9.0.123で提供されています。
これらの脆弱性は特定のコンポーネントや構成に影響するもので、すべての環境が同じように危険にさらされるわけではありません。管理者は、JNDIRealm認証、AJP接続、HTTP/2処理、Unixドメインソケット、Jasperのリダイレクト、FIPS設定を確認し、自環境が影響を受けるかどうかを評価する必要があります。
Apache Tomcatのセキュリティ上の欠陥
CVE-2026-101296：JNDIRealmがGSSAPI以外のSASL認証メカニズムを使用している場合、攻撃者が正しいパスワードを入力しなくても認証を通過できる脆弱性です。検証手順が欠落しているため、影響を受ける3つのTomcatブランチすべてが対象となります。
CVE-2026-103119：Tomcat 11のAJPコネクタに影響する欠陥です。大きなデータを非ブロッキングで書き込む際にバッファのアンダーリードが発生すると、同じ接続上の連続するリクエスト間でレスポンスボディが分割されてしまいます。その結果、多くの場合は2番目のリクエストが失敗しますが、最初のレスポンスの情報が漏えいする可能性もあります。
CVE-2026-101356：エラー発生後のHTTP/2非同期サーブレット処理で、オブジェクトが誤って再利用される脆弱性です。再利用されたオブジェクトによって、ユーザー間でリクエストやレスポンスが混在し、他のユーザーに情報が漏れる経路になり得ます。
脆弱性アセスメントサービス
脆弱性の一覧表
各脆弱性について、影響を受けるバージョンの範囲と対応する修正バージョンを以下の表にまとめました。
| CVE | 深刻度 | 脆弱性 | 影響を受けるバージョン | 修正バージョン |
|---|---|---|---|---|
| CVE-2026-103119 | Important | AJPレスポンスの混在 | 11.0.0-M25–11.0.26 | 11.0.27 |
| CVE-2026-101356 | Important | HTTP/2非同期リクエスト/レスポンスの混在 | 11.0.22–11.0.26; 10.1.55–10.1.60; 9.0.118–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
| CVE-2026-101296 | Important | JNDIRealm認証バイパス | 11.0.0-M1–11.0.26; 10.1.0-M1–10.1.60; 9.0.0.M1–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
| CVE-2026-93446 | Low | TLS 1.3接続の失敗 | 11.0.0-M21–11.0.26; 10.1.25–10.1.60; 9.0.90–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
| CVE-2026-88041 | Low | HTTP/2トレーラーの相互汚染 | 11.0.0-M23–11.0.26; 10.1.27–10.1.60; 9.0.92–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
| CVE-2026-80353 | Low | APR/NativeにおけるUnixソケットのパーミッション競合 | 9.0.47–9.0.122 | 9.0.123 |
| CVE-2026-74049 | Low | Jasperのリダイレクトがページ処理を停止しない | 11.0.0-M1–11.0.26; 10.1.0-M1–10.1.60; 9.0.0.M1–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
| CVE-2026-74048 | Low | FIPSの有効化に失敗してもFIPS非対応モードで起動可能 | 11.0.0-M14–11.0.26; 10.1.22–10.1.60; 9.0.92–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
CVE-2026-80353は、APR/Nativeコネクタ経由でUnixドメインソケットを作成する際に発生する、TOCTOU（time-of-check to time-of-use）競合状態の脆弱性です。権限のないローカルユーザーがソケットにアクセスできる可能性があります。以前のCVE-2026-65183の修正ではNIOコネクタのみが対処され、APR/Native側の同種の問題は見落とされていました。
CVE-2026-74049は、JasperのJSTL `<c:redirect>` プラグイン置換に影響します。ページを中断する動作がないため、リダイレクト後も直ちに終了せず、処理が続行されてしまいます。
CVE-2026-74048は、OpenSSL-FFMのFIPS処理に関する問題です。FIPSの有効化に失敗するとTomcatはエラーを記録しますが、そのままJSSEをFIPS非対応モードで使い続けます。これは本来意図された構成に反する動作です。
残る欠陥はクリーンアップの不備に起因します。CVE-2026-93446は断続的なTLS 1.3接続の失敗を引き起こし、CVE-2026-88041ではHTTP/2のトレーラー情報が後続のリクエストに引き継がれてしまいます。
Apacheは、影響を受ける各ブランチの修正版へアップグレードするよう呼びかけています。更新後は、認証、レスポンスの分離、ソケットのパーミッション、リダイレクトの動作、FIPSへの準拠を特に注意して確認してください。
MTTRを21分短縮し、影響が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入。
サイバーセキュリティニュース購読
翻訳元: https://gbhackers.com/apache-tomcat-security-flaws/
