Apache Tomcat Security Flaws Allow Attackers to Bypass Authentication and Expose User Data
2026/10/21 gbhackers —
Apache Software Foundation が公開したのは、Tomcat に存在する 8 件の脆弱性に関する情報である。このうちの 3 件は深刻度 High、5 件は Low と評価されており、影響を受けるバージョン系列に応じて、Tomcat 11.0.27／10.1.61／9.0.123 で修正されている。これらの脆弱性が悪用されると、認証回避、ユーザー間のデータ漏えい、不適切なソケットアクセス、暗号化設定の不備などにつながる恐れがある。
すべての導入環境が、同じように影響を受けるわけではないことを、管理者は踏まえるべきである。その上で、JNDIRealm による認証／AJP 接続／HTTP/2 処理／Unix ドメインソケットのアクセス制御／Jasper リダイレクト処理／FIPS 設定を確認し、脆弱性の影響を受ける可能性を評価する必要がある。これらの脆弱性は、特定のコンポーネントや構成に影響するものである。
Apache Tomcat のセキュリティ上の脆弱性
CVE-2026-101296：JNDIRealm が GSSAPI 以外の SASL 認証メカニズムを使用しているケースにおいて、必要な検証処理の欠落を突く攻撃者に認証の回避を許す脆弱性であり、Tomcat の 3 つのバージョン系列すべてが影響を受ける。
CVE-2026-103119：Tomcat 11 の AJP コネクタでは、大量のデータを非ブロッキング方式で書き込む際に、バッファ内のデータが適切に処理されないため、同一の接続上において連続するリクエストの間で、レスポンス本文が混線する可能性がある。この問題により、2 番目のリクエストが失敗する可能性が高く、最初の応答に含まれる情報が漏えいする恐れもある。
CVE-2026-101356：エラー発生後の HTTP/2 非同期サーブレット処理では、オブジェクトの不適切な再利用により、異なるユーザーのリクエストやレスポンスが混線し、ユーザー間で情報が漏えいする可能性がある。
脆弱性の一覧
以下の表に、各脆弱性の重要度／概要／影響バージョン／修正済みバージョンを示す。
| CVE | Severity | Vulnerability | Affected versions | Fixed versions |
|---|---|---|---|---|
| CVE-2026-103119 | Important | AJP response mix-up | 11.0.0-M25–11.0.26 | 11.0.27 |
| CVE-2026-101356 | Important | HTTP/2 asynchronous request/response mix-up | 11.0.22–11.0.26; 10.1.55–10.1.60; 9.0.118–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
| CVE-2026-101296 | Important | JNDIRealm authentication bypass | 11.0.0-M1–11.0.26; 10.1.0-M1–10.1.60; 9.0.0.M1–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
| CVE-2026-93446 | Low | TLS 1.3 connection failures | 11.0.0-M21–11.0.26; 10.1.25–10.1.60; 9.0.90–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
| CVE-2026-88041 | Low | HTTP/2 trailer cross-contamination | 11.0.0-M23–11.0.26; 10.1.27–10.1.60; 9.0.92–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
| CVE-2026-80353 | Low | APR/Native Unix socket permission race | 9.0.47–9.0.122 | 9.0.123 |
| CVE-2026-74049 | Low | Jasper redirect fails to stop page processing | 11.0.0-M1–11.0.26; 10.1.0-M1–10.1.60; 9.0.0.M1–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
| CVE-2026-74048 | Low | Failed FIPS activation permits non-FIPS startup | 11.0.0-M14–11.0.26; 10.1.22–10.1.60; 9.0.92–9.0.122 | 11.0.27; 10.1.61; 9.0.123 |
CVE-2026-80353 は、APR/Native コネクタを介した Unix ドメインソケットの作成処理における、確認時と使用時の競合 (TOCTOU) により、権限のないローカルユーザーに対してソケットへのアクセスを許す脆弱性である。以前の CVE-2026-65183 に対する修正では、NIO コネクタの問題が対処されたが、APR／Native コネクタ側の同様の問題は修正されていなかった。
CVE-2026-74049 は、Jasper における JSTL の <c:redirect> タグを代替するプラグインに影響する。ページ処理を中断する仕組みが欠けているため、リダイレクト後もページの処理が継続する可能性がある。脆弱性 CVE-2026-74048 は、OpenSSL-FFM における FIPS モードの処理に関係し、有効化に失敗しても Tomcat がエラーをログに記録するだけで、FIPS 要件を満たさない JSSE 設定での動作を引き起こす可能性がある。
残る 2 件の脆弱性は、処理後の不十分なデータ消去に関係する。CVE-2026-93446 は TLS 1.3 における断続的な通信障害、CVE-2026-88041 は HTTP/2 におけるトレーラーヘッダー情報の適切な消去に起因し、後続のリクエストにデータが引き継がれる問題である。
Apache が推奨するのは、影響を受ける各バージョン系列を、修正済みリリースに更新することである。更新後は、認証処理／ユーザー間での応答分離／ソケットのアクセス権限／リダイレクトの動作／FIPS 要件への準拠などを、重点的に検証する必要がある。
Apache Tomcat の複数の脆弱性により、認証回避やユーザー間のデータ漏えいなどのセキュリティ上のリスクが生じる背景には、特定のコンポーネントや接続処理における不適切な実装や検証不足が存在します。具体的な影響として、CVE-2026-101296／CVE-2026-103119／CVE-2026-101356 などの重要度 High に該当する問題をはじめ、通信障害や権限設定の不備および処理の不適切な継続に起因する、情報の混線や不正アクセスの危険性が挙げられます。これらの問題に対応するため、速やかなバージョンアップの実施、および設定の確認が求められます。
You must be logged in to post a comment.