Apache - CVE-2026-65182

Il s'agit d'une vulnérabilité dans le traitement des contraintes de sécurité (security constraints) définies dans le descripteur web.xml d'Apache Tomcat.

Apache Tomcat est un conteneur de servlets et un serveur d'applications web, implémentant les spécifications Jakarta Servlet, Jakarta Server Pages et Jakarta WebSocket. Il héberge et exécute des applications web Java, notamment celles reposant sur le framework Spring Boot, qui l'embarque par défaut. Il est largement déployé en environnement d'entreprise, seul ou intégré à d'autres serveurs d'applications.

Ces contraintes associent des motifs d'URL (URL patterns) à des exigences d'autorisation, comme l'appartenance à un rôle donné, pour protéger certaines ressources d'une application. Le moteur d'évaluation traite les contraintes selon leur ordre de déclaration dans le descripteur plutôt que selon leur spécificité. Lorsqu'une contrainte définie sur un chemin plus long, donc moins restrictive, est déclarée avant une contrainte plus restrictive relative à un sous-chemin plus court, c'est la contrainte la moins restrictive qui s'applique à ce sous-chemin. La ressource visée par la contrainte la plus restrictive n'est alors plus protégée comme prévu. Ce comportement affecte par défaut l'application web d'exemples (examples) livrée avec Tomcat, dont l'ordre de déclaration des contraintes déclenche la condition sans configuration additionnelle.

Elle permet un contournement de la politique de contrôle d'accès et l'exposition de ressources normalement protégées par une exigence de rôle.