Apache Tomcat Vulnerabilities Let Attackers Bypass Security Controls and Crash Servers
2026/08/26 CyberSecurityNews — Apache Software Foundation が公表したのは、広く導入されているオープンソースの Java サーブレット・コンテナである Apache Tomcat に存在する、12 件のセキュリティ脆弱性に対する修正と、新たなバージョン 11.0.25 のリリースである。2026年08月25日に公開された一連の脆弱性は、深刻度 Low から Important に及ぶものであり、認証上の問題／アクセス制御の回避／サービス拒否による本番サーバーの停止を引き起こす。エンタープライズ／クラウド／Linux 環境で Tomcat 11.0.0-M1～11.0.24 を運用する組織は、今回の更新を優先度の高いパッチ適用として扱う必要がある。
Apache Tomcat の脆弱性
今回修正された問題のいくつかは、Tomcat の認可ロジックの中核に影響を及ぼすものである。深刻度 Important の CVE-2026-65182 は、一連の問題の中でも特に懸念される脆弱性といえる。
この脆弱性は、Tomcat によるセキュリティ制約の処理方法に起因する。長大な URL パスを対象とするルールが、短いサブパスを対象とする厳格なルールより先に定義されている場合に、厳格な制約が暗黙のうちに回避され、保護されたリソースが権限のないユーザーに公開される可能性がある。
関連する CVE-2026-68569 も深刻度 Important に分類され、CLIENT-CERT や SPNEGO などの認証方式に影響を及ぼす。特定の条件下では、DataSourceRealm に存在しないユーザーであっても認証される可能性があり、ID 検証の目的を損なう典型的なフェイルオープンの状況が生じている。
その一方で、CVE-2026-65927 では RewriteValve コンポーネントのオフバイワンエラーが明らかになった。この問題では、”N” フラグにより、ルール処理が 1 番目ルールではなく 2 番目のルールから再開されるため、細工されたリライト・ルールを通じてアクセス制御を回避する経路が生じる。
さらに、深刻度の低い 2 件の不具合が、アクセス制御関連の問題として確認されている。CVE-2026-68525 では、FORM ベースの認証リダイレクトにより、HTTP メソッド固有の制約を回避される可能性がある。この脆弱性を悪用する攻撃者は、POST リクエストだけに制限されるはずのリソースに対して GET を用いたアクセスを可能にする。
もう一方の CVE-2026-66422 により、Request.isUserInRole() で使用するサーブレットのロール参照定義が、レルムレベルのロール・エイリアスとして誤って適用される。
認証関連の問題に加えて、Tomcat の HTTP/2 および WebSocket 実装には、サーバを完全にクラッシュさせる可能性がある不具合も存在している。深刻度 Important の CVE-2026-68763 は、ストリームがリセットされた際に、HTTP/2 バックログ追跡で割り当てリークを発生するものだ。この脆弱性を悪用する攻撃者は、サーバリソースを枯渇させ、サービス拒否を引き起こす可能性がある。
同様に CVE-2026-66299 は、同梱されている WebSocket チャットのサンプルに影響を及ぼす。メッセージ・バッファに上限が設定されていないため、意図的に低速なクライアントによりメモリ使用量が継続的に増加し、最終的に Tomcat プロセスを停止させる可能性がある。なお、以前のセキュリティ・ガイダンスに従ってサンプル・アプリケーションを削除している管理者は、この不具合の影響を受けない。
別の深刻度 Moderate の CVE-2026-65637 は、HTTP/2 の厳格な SNI 検証に対処した、以前の CVE-2026-32990 に対する不完全な修正に起因し、authority が存在しない場合の検証回避が可能なことが明らかになった。
この他にも、深刻度 Low の問題が 2 件公開された。CVE-2026-73180 により、セッション ID 変更後の認証済み WebSocket セッションが、親 HTTP セッションの終了後も存続する可能性がある。CVE-2026-65183 は、Unix Domain Socket の権限に影響を及ぼすチェック時と使用時の競合状態 (TOCTOU) であり、権限のないローカル・ユーザーにアクセスを許す可能性がある。DIGEST 認証における限定的なリプレイ攻撃経路である、CVE-2026-65905 も修正された。
| CVE IDDescriptionAffected Versions | ||
|---|---|---|
| CVE-2026-65182 | Security constraint bypass when a rule for a longer path was defined before a stricter rule for a shorter sub-path | 11.0.0-M1 to 11.0.24 |
| CVE-2026-68569 | Principal lookup could fail open for CLIENT-CERT/SPNEGO auth, authenticating users not present in the DataSourceRealm | 11.0.0-M1 to 11.0.24 |
| CVE-2026-68763 | DoS via allocation leak in HTTP/2 backlog tracking when a stream is reset | 11.0.0-M1 to 11.0.24 |
| CVE-2026-65927 | Off-by-one error in RewriteValve [N] flag causing rule processing to restart at the second rule, enabling access control bypass | 11.0.0-M1 to 11.0.24 |
| CVE-2026-65637 | Incomplete fix for CVE-2026-32990; HTTP/2 no-authority bypass of strict SNI validation | 11.0.20 to 11.0.24 |
| CVE-2026-68525 | FORM authentication redirect could bypass method-specific security constraints (e.g., POST-only restrictions accessed via GET) | 11.0.0-M1 to 11.0.24 |
| CVE-2026-66422 | security-role-ref definitions incorrectly used as role aliases in the Realm instead of only with Request.isUserInRole() | 11.0.0-M1 to 11.0.24 |
| CVE-2026-66299 | Unbounded buffer in WebSocket chat example allowed a slow client to exhaust memory and crash the Tomcat process | 11.0.0-M20 to 11.0.24 |
| CVE-2026-65905 | Limited replay attack possible with DIGEST authentication under specific nonceCount conditions | 11.0.0-M1 to 11.0.24 |
| CVE-2026-65183 | TOCTOU race condition when setting permissions on Unix Domain Sockets, allowing unauthorized local access | 11.0.0-M1 to 11.0.24 |
| CVE-2026-73180 | Authenticated WebSocket session survives end of HTTP session after a session ID change, violating Jakarta WebSocket spec | 11.0.0-M1 to 11.0.24 |
すでに Apache は、各脆弱性に対する修正コミットを公開し、Apache Tomcat 11.0.25 への速やかなアップグレードを推奨している。アクセス制御の回避とサービス停止につながる不具合が混在していることから、特にインターネットに公開された環境において、パッチ適用の遅延によるデータ漏洩と稼働停止が発生し得る。
Apache Tomcat における、複数のセキュリティ不備の修正と、最新版でのパッチ適用を解説する記事です。Apache Tomcat 11.0.0-M1 ～ 11.0.24 にて認可制御や検証処理などの構成上の欠陥が確認されています。これにより認証回避／権限制限の迂回／リソース枯渇に伴うプロセス停止などの被害が発生します。安全な運用に向けて修正版への改修や不要サンプルの除外などの処置が求められます。
IoT OT Security News 
You must be logged in to post a comment.