Apache Tomcat: Authentifizierungsumgehung bei nicht geprüfter Fehlerbedingung

Beschreibung

Ist Tomcat mit einer eigenen Jakarta-Authentication-Komponente konfiguriert, die während der Authentifizierung eine Ausnahme wirft, ohne explizit einen Fehlerstatus zu setzen, kann die Authentifizierung fehlschlagen ohne abzubrechen und ein Nutzer die Anmeldung umgehen. Betroffen sind Tomcat 11.0.0-M1 bis 11.0.0-M26, 10.1.0-M1 bis 10.1.30 und 9.0.0-M1 bis 9.0.95. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf Version 11.0.0, 10.1.31 oder 9.0.96.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Apache Tomcat

• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Apache Tomcat EncryptInterceptor Bypass – fehlende Verschlüsselung sensibler Daten KEV CVE-2026-34486
• Apache ActiveMQ – Improper Input Validation (Jolokia JMX-HTTP Bridge) KEV CVE-2026-34197
• Apple Multiple Products – Integer Overflow oder Wraparound KEV CVE-2021-30952
• Roundcube Webmail – Deserialisierung nicht vertrauenswürdiger Daten KEV CVE-2025-49113
• GNU InetUtils Argument Injection Vulnerability KEV CVE-2026-24061