Apache Tomcat: Vertauschung von Requests und Responses bei HTTP/2-Verarbeitung
Zusammenfassung
Apache Tomcat vertauscht Requests und Responses zwischen Benutzern, wenn während der asynchronen Servlet-Verarbeitung über HTTP/2 ein Fehler auftritt. Ursache ist die fehlerhafte Wiederverwendung von Request- und Response-Objekten. Ein nicht authentifizierter Angreifer, der gleichzeitig HTTP/2-Requests sendet, kann möglicherweise Antwortdaten anderer Benutzer einsehen; der Hersteller stuft die Auswirkung als teilweise ein. Die Standardkonfiguration ist nicht betroffen.
Betroffen
- Apache Tomcat 11.0.22 bis 11.0.26
- Apache Tomcat 10.1.55 bis 10.1.60
- Apache Tomcat 9.0.118 bis 9.0.122
Behoben in
- Apache Tomcat 11.0.27
- Apache Tomcat 10.1.61
- Apache Tomcat 9.0.123
- Oder das korrigierte Paket Ihrer Distribution oder Ihres Herstellers
Umgehung
- HTTP/2-Element UpgradeProtocol in der Connector-Konfiguration in server.xml deaktivieren (Empfehlung von Red Hat; vorher testen, da es sich um eine Dienständerung handelt)
- Alternativ betroffene asynchrone Servlets auf synchrone Request-Verarbeitung umstellen
- Ein Reverse Proxy, der HTTP/2 von Clients akzeptiert und über HTTP/1.1 an Tomcat weiterleitet, reduziert das Risiko, sofern der HTTP/2-Connector von Tomcat nicht exponiert ist
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn in den geprüften Quellen
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial
- Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert
- Bewertungen unterscheiden sich: NVD zeigt 9.1 (CRITICAL, CISA-ADP), VulDB zeigt 5.3
Unsere Empfehlung
- Alle Tomcat-Instanzen inventarisieren, einschliesslich eingebetteter Tomcat-Versionen in anderen Produkten und Frameworks
- Auf 11.0.27, 10.1.61 oder 9.0.123 aktualisieren oder das korrigierte Paket der Distribution installieren
- Bis zur Korrektur HTTP/2 auf aus dem Internet erreichbaren Connectors deaktivieren oder asynchrone Workloads auf synchrone Verarbeitung umstellen
- Logs auf Antworten prüfen, die anderen Benutzern zu gehören scheinen
- Hersteller von Produkten mit Tomcat nach einer Betroffenheit fragen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache oss-security advisory www.openwall.com
- Apache Tomcat advisory thread lists.apache.org
- NVD CVE-2026-101356 nvd.nist.gov
- Red Hat CVE record access.redhat.com
- VulDB CVE-2026-101356 vuldb.com
- Apache Tomcat home tomcat.apache.org
- Apache Tomcat release catalogue release-catalog.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.