Apache Tomcat : huit vulnérabilités corrigées, dont des failles critiques
Apache Software Foundation publie des correctifs pour Tomcat 9, 10 et 11 ; trois CVE critiques atteignent un score CVSS de 9,1.
The Apache Software Foundation a divulgué huit vulnérabilités affectant Apache Tomcat versions 9, 10 et 11, selon forest.watch.impress.co.jp. Des mises à jour correctives sont disponibles dans les versions 9.0.123, 10.1.61 et 11.0.27.
Parmi ces failles, certaines sont classées CRITICAL, avec un score CVSS 3.1 maximal de 9,1. Le détail des vecteurs d'attaque et des versions concernées figure dans les avis publiés par la fondation.
Trois vulnérabilités documentées en détail
CVE-2026-101356 concerne une confusion requête/réponse HTTP/2 survenant après une erreur lors d'un traitement asynchrone. Elle touche Tomcat 11.0.22 à 11.0.26, 10.1.55 à 10.1.60 et 9.0.118 à 9.0.122.
CVE-2026-101296 porte sur une validation des identifiants de connexion JNDIRealm qui échoue en mode ouvert pour les mécanismes SASL autres que GSSAPI. Sont concernées les versions 11.0.0-M1 à 11.0.26, 10.1.0-M1 à 10.1.60 et 9.0.0.M1 à 9.0.122. CVE-2026-103119, enfin, implique une confusion de réponse AJP et ne touche que Tomcat 11.0.0-M25 à 11.0.26.
Les versions 9.0.123, 10.1.61 et 11.0.27 avaient été publiées le 12 octobre 2026, avant la diffusion de ces avis. La branche Apache Tomcat 9.0 arrivera en fin de support le 31 mars 2027.
En bref
Quelles versions corrigent ces vulnérabilités ?
Apache Tomcat 9.0.123, 10.1.61 et 11.0.27.
Quel est le score CVSS des failles critiques ?
Les vulnérabilités classées CRITICAL atteignent un score CVSS 3.1 maximal de 9,1.
Jusqu'à quand la branche Tomcat 9.0 est-elle supportée ?
La branche Apache Tomcat 9.0 arrive en fin de support le 31 mars 2027.