Apache Tomcat: TOCTOU-Race-Condition bei Unix-Domain-Sockets im APR/Native-Connector

Zusammenfassung

Eine Time-of-check-time-of-use-Race-Condition im APR/Native-Connector von Apache Tomcat 9 erlaubt einem lokalen, nicht privilegierten Benutzer den Zugriff auf einen von Tomcat erstellten Unix-Domain-Socket. Die Korrektur für CVE-2026-65183 deckte nur den NIO-Connector ab, weshalb der APR/Native-Connector weiterhin betroffen war. Voraussetzung ist ein lokales Benutzerkonto auf dem Host und der APR/Native-Connector mit konfigurierten Unix-Domain-Sockets; Apache stuft das Problem als niedrig ein.

Betroffen

• Apache Tomcat 9.0.47 bis 9.0.122 (Apache-Advisory)
• Abweichung: Die Sicherheitsseite von Apache Tomcat 9 nennt 9.0.92 bis 9.0.122; 9.0.47 bis 9.0.91 bis zur Klärung durch Apache als potenziell betroffen behandeln
• Tomcat 10.1 und 11.0: von Apache für diese CVE nicht bestätigt
• Unbekannt, ob Distributionspakete (z. B. Ubuntu tomcat9) betroffen sind

Behoben in

• Apache Tomcat 9.0.123 (veröffentlicht am 12. Okt. 2026, Korrektur mit Commit 894158fd)

Umgehung

• Kein von Apache bestätigter Workaround; das Update ist die einzige aufgeführte Korrektur
• Übergangsmassnahme, falls nicht gepatcht werden kann: Das übergeordnete Verzeichnis des Sockets auf den Tomcat-Dienstkonto beschränken (Modus 0700); von Apache für diese CVE nicht bestätigt
• Deaktivierung der Nutzung von Unix-Domain-Sockets im Connector erwägen, falls nicht benötigt

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Laut Strix nicht im CISA-KEV-Katalog
• Stand 1. Nov. 2026 kein öffentlicher Proof-of-Concept und keine bestätigte Ausnutzung gefunden (eingeschränkte Recherche)

Unsere Empfehlung

• Prüfen, ob der APR/Native-Connector mit Unix-Domain-Sockets verwendet wird (Tomcat Native installiert, Socket konfiguriert)
• Apache Tomcat 9 im nächsten regulären Wartungsfenster auf 9.0.123 aktualisieren; auf Multi-Tenant- oder Shared-Hosts mit nicht vertrauenswürdigen lokalen Benutzern früher patchen
• Bis zum Patch das Socket-Verzeichnis auf das Tomcat-Dienstkonto beschränken
• CVSS-Wert gegen NVD prüfen, da NVD noch in Analyse war und der Vektor Netzwerkzugriff angibt, die Schwachstelle aber lokal ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apache mailing list advisory lists.apache.org
• Apache Tomcat 9 security page tomcat.apache.org
• Apache Tomcat 9.0.123 release catalog release-catalog.apache.org
• Tomcat 9.0 changelog tomcat.apache.org
• Ubuntu security tracker ubuntu.com
• Strix CVE entry www.strix.ai
• VulDB entry vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:41.