Zaloguj się
Deutsch English Español Polski
Średnia

Apache Tomcat is vulnerable to resource exhaustion when using the APR/Native connector

  • Ujawniono: 10.07.2025
  • Aktualizacja: 11.10.2026 12:22

Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') vulnerability in Apache Tomcat when using the APR/Native connector. This was particularly noticeable with client initiated closes of HTTP/2 connections.

This issue affects Apache Tomcat: from 9.0.0.M1 through 9.0.106. The following versions were EOL at the time the CVE was created but are known to be affected: 8.5.0 through 8.5.100. Other, older, EOL versions may also be affected.

Users are recommended to upgrade to version 9.0.107, which fixes the issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.tomcat.embed:tomcat-embed-core >= 9.0.0.M1, < 9.0.107, >= 8.5.0, <= 8.5.100 9.0.107
Java / Kotlin (Maven) org.apache.tomcat:tomcat-coyote >= 9.0.0.M1, < 9.0.107, >= 8.5.0, <= 8.5.100 9.0.107

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-362
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.tomcat.embed:tomcat-embed-core, org.apache.tomcat:tomcat-coyote
Ujawniono
10.07.2025
Aktualizacja
11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-4j3c-42xv-3f84 - CC BY 4.0

Historia podatności: org.apache.tomcat.embed:tomcat-embed-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (77) w archiwum
Wszystkich wpisów
77
Pierwsza → ostatnia
10.2018 08.2026
Bez poprawki
0
Wykorzystywana w atakach
5

Rozkład istotności

  • Krytyczna 11
  • Wysoka 36
  • Średnia 25
  • Niska 5

Ujawnienia w latach

Istotność:
  1. Apache Tomcat's DIGEST authenticator has an Authentication Bypass by Capture-replay vulnerability
    Krytyczna · 9.8 CVE-2026-65905 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0.M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.30, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  2. Apache Tomcat has an Improper Access Control, Incorrect Authorization vulnerability
    Krytyczna · 9.1 CVE-2026-65182 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  3. Apache Tomcat's FORM authentication process has an Incorrect Authorization vulnerability
    Krytyczna · 9.1 CVE-2026-68525 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  4. Apache Tomcat: Unbounded read in WebDAV LOCK and PROPFIND handling
    Wysoka · 7.5 CVE-2026-41284 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  5. Apache Tomcat - Digest authenticator will authenticate any unknown user
    Krytyczna · 9.8 CVE-2026-43512 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  6. Apache Tomcat: LockOutRealm treats user names as case-sensitive
    Wysoka · 7.5 CVE-2026-43513 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  7. Apache Tomcat - Security constraints not correctly applied
    Krytyczna · 9.1 CVE-2026-43515 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  8. Apache Tomcat - WebSocket authentication header exposure
    Wysoka · 7.3 CVE-2026-42498 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  9. Apache Tomcat - HTTP/2 request headers not validated
    Krytyczna · 9.8 CVE-2026-41293 >= 8.5.0, < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  10. Apache Tomcat vulnerable to Insertion of Sensitive Information into Log File
    Wysoka · 7.5 CVE-2026-34487 >= 9.0.13, < 9.0.117, >= 10.1.0-M1, < 10.1.54, >= 11.0.0-M1, < 11.0.21 9.0.117, 10.1.54, 11.0.21
  11. Apache Tomcat has an Improper Encoding or Escaping of Output vulnerability in the JsonAccessLogValve
    Wysoka · 7.5 CVE-2026-34483 >= 9.0.40, < 9.0.116, >= 10.1.0-M1, < 10.1.54, >= 11.0.0-M1, < 11.0.21 9.0.116, 10.1.54, 11.0.21
  12. Apache Tomcat has an HTTP Request/Response Smuggling vulnerability
    Wysoka · 7.5 CVE-2026-24880 >= 7.0.0, < 9.0.116, >= 10.1.0-M1, < 10.1.52, >= 11.0.0-M1, < 11.0.20 9.0.116, 10.1.52, 11.0.20
  13. Apache Tomcat: Configured cipher preference order not preserved
    Wysoka · 7.5 CVE-2026-29129 >= 9.0.114, < 9.0.116, >= 10.1.51, < 10.1.53, >= 11.0.16, < 11.0.20 9.0.116, 10.1.53, 11.0.20
  14. Apache Tomcat has an Improper Input Validation vulnerability
    Wysoka · 7.5 CVE-2026-24734 >= 11.0.0-M1, < 11.0.18, >= 10.1.0-M7, < 10.1.52, >= 9.0.83, < 9.0.115 11.0.18, 10.1.52, 9.0.115
  15. Apache Tomcat Vulnerable to Relative Path Traversal
    Wysoka · 7.5 CVE-2025-55752 >= 11.0.0-M1, < 11.0.11, >= 10.1.0-M1, < 10.1.45, >= 9.0.0-M11, < 9.0.109, >= 8.5.6, <= 8.5.100 11.0.11, 10.1.45, 9.0.109
  16. Apache Tomcat Improper Resource Shutdown or Release vulnerability
    Wysoka · 7.5 CVE-2025-48989 >= 11.0.0-M1, < 11.0.10, >= 10.1.0-M1, < 10.1.44, >= 9.0.0.M1, < 9.0.108 11.0.10, 10.1.44, 9.0.108
  17. Apache Tomcat Coyote vulnerable to Denial of Service via excessive HTTP/2 streams
    Wysoka · 7.5 CVE-2025-53506 >= 8.5.0, <= 8.5.100, >= 9.0.0.M1, < 9.0.107, >= 10.1.0-M1, < 10.1.43, >= 11.0.0-M1, < 11.0.9 9.0.107, 10.1.43, 11.0.9
  18. Apache Tomcat is vulnerable to resource exhaustion when using the APR/Native connector ten wpis
    Średnia · 7.5 CVE-2025-52434 >= 9.0.0.M1, < 9.0.107, >= 8.5.0, <= 8.5.100 9.0.107
  19. Apache Tomcat Catalina is vulnerable to DoS attack through bypassing of size limits
    Wysoka · 7.5 CVE-2025-52520 >= 11.0.0-M1, < 11.0.9, >= 10.1.0-M1, < 10.1.43, >= 9.0.0.M1, < 9.0.107, >= 8.5.0, <= 8.5.100 11.0.9, 10.1.43, 9.0.107
  20. Apache Tomcat - DoS in multipart upload
    Wysoka · 7.5 CVE-2025-48988 >= 11.0.0-M1, < 11.0.8, >= 10.1.0-M1, < 10.1.42, >= 9.0.0.M1, < 9.0.106, >= 8.5.0, <= 8.5.100 11.0.8, 10.1.42, 9.0.106
Pokaż więcej (20) Widać 20 z 48

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.