Apache Tomcatの特定設定で認証回避、HTTP/2の応答混在など8件を修正

この記事は約3分で読めます。

Apacheは、Tomcatの特定の認証設定でパスワード検証を回避できる問題や、利用者間でリクエスト・レスポンスが混在する問題など、計8件の脆弱性を公表しました。修正版は11.0.27・10.1.61・9.0.123です。

修正版は10月12日に公開済みで、Apacheは10月20日に脆弱性の詳細を公表しました。JVNは10月21日に掲載しています。

Importantは3件: 認証回避とHTTP/2・AJPの応答混在

CVE-2026-101296は、JNDIRealmでGSSAPI以外のSASL認証を使う構成の問題です。正しいパスワードを提示せずに認証できる可能性があります。保守中の3系列では11.0.0-M1～11.0.26、10.1.0-M1～10.1.60、9.0.0.M1～9.0.122が対象です。CVEレコードは保守終了済みの8.5と7.0も影響版に挙げています。

CVE-2026-101356は、HTTP/2で非同期サーブレットの処理中にエラーが起きた際、オブジェクトの再利用が不適切になり、利用者間でリクエストやレスポンスが混在する問題です。影響版は11.0.22～11.0.26、10.1.55～10.1.60、9.0.118～9.0.122です。Apacheはこの2件に加え、Tomcat 11のAJP応答混在(CVE-2026-103119)も「Important」と評価しています。

CVEレコードでは、CISAがImportantの3件をCVSS 9.1と評価しています(CVE-2026-101296はv4.0、CVE-2026-101356とCVE-2026-103119はv3.1)。

今回公表された8件

CVE 概要 Apache評価 対象系列
CVE-2026-101296 JNDIRealmの特定SASL構成で認証を回避 Important 9・10.1・11
CVE-2026-101356 HTTP/2非同期処理で要求・応答が混在 Important 9・10.1・11
CVE-2026-103119 AJPの大きなノンブロッキング書き込みで応答が混在 Important 11
CVE-2026-93446 TLS 1.3接続が断続的に失敗 Low 9・10.1・11
CVE-2026-88041 HTTP/2のトレーラーヘッダーが次の要求に混入 Low 9・10.1・11
CVE-2026-74049 JasperのJSTLプラグインでリダイレクト後もページ処理が継続 Low 9・10.1・11
CVE-2026-74048 FIPS有効化に失敗しても非FIPSモードで稼働 Low 9・10.1・11
CVE-2026-80353 APRのUnixソケット作成時の競合で、権限のないローカルユーザーがソケットにアクセス Low 9

表は現在の保守対象系列での該当を示しています。

利用中の系列を修正版へ更新する

11.0系列は11.0.27以降、10.1系列は10.1.61以降、9.0系列は9.0.123以降へ更新してください。保守終了の10.0や8.5などを使っている場合は、サポート対象の系列へ移行してください。

Apacheの対応表では、11.0系列はJava 17以降、10.1系列はJava 11以降、9.0系列はJava 8以降が必要とされています。系列を変える場合は、Javaとアプリの互換性も併せて確認します。

参考情報

コメント

タイトルとURLをコピーしました