Apache Tomcat: Buffer under-read führt zu Antwortvermischung

Zusammenfassung

Apache Tomcat 11.0.0-M25 bis 11.0.26 enthält ein Buffer under-read im Pfad für nicht blockierendes Schreiben. Ein grosses nicht blockierendes Schreiben kann den Antwortinhalt zwischen der aktuellen Anfrage und der nächsten Anfrage auf derselben Verbindung aufteilen, was den Fehlschlag der zweiten Anfrage wahrscheinlich macht und möglicherweise Daten aus der ersten Antwort in die zweite gelangen lässt. Ein Angreifer muss Anfragen auf einer Verbindung senden können, die für die Antwort eines Opfers genutzt wird, und die meisten Quellen beschreiben den AJP-Connector als betroffenen Pfad, während ein Bericht den HTTP/1.1-Pfad nennt, weshalb beide geprüft werden sollten. Die Schweregrade unterscheiden sich (CNA 9.1, VulDB 6.3, Red Hat 4.8, Apache stuft als Important ein).

Betroffen

• Apache Tomcat 11.0.0-M25 bis 11.0.26
• Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag)
• Andere Tomcat-Versionszweige: Umfang in den Quellen unklar, Advisory prüfen

Behoben in

• Apache Tomcat 11.0.27 (veröffentlicht am 12. Okt. 2026)
• Distributionspakete: Herstellerhinweis prüfen (openSUSE, Red Hat, Bitnami)

Umgehung

• Kein vom Hersteller dokumentierter Workaround.
• Falls nicht rasch gepatcht werden kann: prüfen, ob der AJP-Connector aktiviert ist, und ihn auf vertrauenswürdige Proxy-Hosts beschränken (eigene Empfehlung, nicht aus einer Quelle).

Ausnutzung

• Kein öffentlicher Exploit bekannt (VulDB).
• In den geprüften Quellen nicht als aktiv ausgenutzt gekennzeichnet.
• Eine OffSeq-Seite erwähnt Honeypot-Angriffsverkehr; diese Formulierung ist mehrdeutig und wird als nicht bestätigt behandelt.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.

Unsere Empfehlung

• Apache Tomcat 11.x auf 11.0.27 oder neuer aktualisieren, zuerst internetexponierte Systeme und Systeme mit aktiviertem AJP.
• In Distributionspaketen und Container-Images eingebettete Tomcat-Versionen prüfen.
• Falls AJP nicht benötigt wird, deaktivieren; falls benötigt, auf vertrauenswürdige Proxy-Hosts beschränken.
• Bis Apache oder NVD den Umfang klärt, prüfen, ob die HTTP/1.1-Exposition für Ihre Umgebung relevant ist.
• Priorität hoch setzen, wo Tomcat internetexponiert ist, und mittel, wo es nur intern betrieben wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apache oss-security announcement (Openwall) www.openwall.com
• Apache Tomcat announcement thread lists.apache.org
• Apache Tomcat 11 security page tomcat.apache.org
• Apache Tomcat users mailing list announcement www.mail-archive.com
• Red Hat CVE record access.redhat.com
• VulDB entry vuldb.com
• Positive Technologies advisory (Vulners) vulners.com
• Secondary analysis (lilting.ch) lilting.ch

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:17.