Apache - CVE-2026-43515
Date de publication :
Il s'agit d'une vulnérabilité dans le moteur d'évaluation des contraintes de sécurité HTTP d'Apache Tomcat.
Apache Tomcat est un serveur d'applications open source qui implémente les spécifications Jakarta Servlet, JSP et WebSocket, et sert de conteneur Java pour l'exécution d'applications web.
Lorsque plusieurs contraintes de méthode définissent une restriction sur la même extension de fichier, Tomcat n'applique que la première contrainte rencontrée et ignore les suivantes. Un attaquant peut ainsi accéder à des ressources normalement protégées en utilisant une méthode HTTP couverte par une contrainte ignorée.
Elle permet à un attaquant distant non authentifié de contourner les contrôles d'accès configurés sur des endpoints protégés.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Exploitation
CWE-285 : Improper Authorization
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Apache Tomcat versions 11.0.0-M1 jusqu'à 11.0.21
• Apache Tomcat versions 10.1.0-M1 jusqu'à 10.1.54
• Apache Tomcat versions 9.0.0.M1 jusqu'à 9.0.117
• Apache Tomcat versions 8.5.0 jusqu'à 8.5.100 (EOL)
• Apache Tomcat versions 7.0.0 jusqu'à 7.0.109 (EOL)
• Apache Tomcat versions antérieures à 7.0.0
Solutions ou recommandations
• Apache Tomcat branche 10.x : version 10.1.55 et supérieure
• Apache Tomcat branche 9.x : version 9.0.118 et supérieure
• Apache Tomcat branches 8.5.x et 7.x : aucun correctif prévu (versions en fin de vie), mise à niveau vers une branche maintenue recommandée