Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Apache opravuje 12 zranitelností v různých produktech
Apache opravuje 12 zranitelností v různých produktech [1]. Nejzávažnější z nich naleznete níže. Produkty a jejich opravené verze: Apache Tomcat - 11.0.21, 10.1.54, 9.0.117 [2][3][4][5][6][7][8][9][10][11] Apache Tomcat Native - 1.3.7, 2.0.14 [8] Apache Airflow - 3.2.0 [12][13]
Neautentizovanému vzdálenému útočníkovi je v důsledku chyby při ověřování klientských certifikátů umožněno obejít autentizaci, což může vést k neoprávněnému přístupu k citlivým údajům a k jejich následné modifikaci [8].
Zranitelnost se nachází v produktech:
- Apache Tomcat; >=11.0.0-M1, <11.0.20; >=10.1.0-M7, <10.1.53; >=9.0.83, <9.0.116
- Apache Tomcat Native; >=1.1.23, <=1.1.34; >=1.2.0, <=1.2.39; >=1.3.0, <1.3.7, >=2.0.0, <2.0.14
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Více informací:
- CVE-2026-29145 na cve.org, NVD
- CWE-287: Improper Authentication na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 4. 2026.
Neautentizovanému vzdálenému útočníkovi je v důsledku nesprávného zaznamenávání údajů do logovacích souborů umožněn přístup ke Kubernetes bearer tokenu, což může vést k úniku citlivých údajů [3].
Zranitelnost se nachází v produktu:
- Apache Tomcat; >=11.0.0-M1, <11.0.21; >=10.1.0-M1, <10.1.54; >=9.0.13, <9.0.117
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Více informací:
- CVE-2026-34487 na cve.org, NVD
- CWE-532: Insertion of Sensitive Information into Log File na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 4. 2026.
Neautentizovanému vzdálenému útočníkovi je v důsledku nekonzistentní interpretace neplatných přípon v chunked kódování umožněno provést útok typu HTTP request smuggling [11].
Zranitelnost se nachází v produktu:
- Apache Tomcat; >=7.0.0, <=7.0.109; >=8.5.0, <=8.5.100; >=9.0.0.M1, <9.0.116; >=10.1.0-M1, <10.1.52; >=11.0.0-M1, <11.0.20
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Více informací:
- CVE-2026-24880 na cve.org, NVD
- CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 4. 2026.
Neautentizovanému vzdálenému útočníkovi je v důsledku nedostatečné expirace JWT tokenu po odhlášení umožněno převzít kontrolu nad relací uživatele [12].
Zranitelnost se nachází v produktu:
- Apache Airflow; >=3.0.0, <3.2.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Více informací:
- CVE-2025-57735 na cve.org, NVD
- CWE-613: Insufficient Session Expiration na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 4. 2026.
Odkazy
- [1] https://www.openwall.com/lists/oss-security/2026/04/09/
- [2] https://www.openwall.com/lists/oss-security/2026/04/09/29
- [3] https://www.openwall.com/lists/oss-security/2026/04/09/28
- [4] https://www.openwall.com/lists/oss-security/2026/04/09/27
- [5] https://www.openwall.com/lists/oss-security/2026/04/09/26
- [6] https://www.openwall.com/lists/oss-security/2026/04/09/25
- [7] https://www.openwall.com/lists/oss-security/2026/04/09/24
- [8] https://www.openwall.com/lists/oss-security/2026/04/09/23
- [9] https://www.openwall.com/lists/oss-security/2026/04/09/22
- [10] https://www.openwall.com/lists/oss-security/2026/04/09/21
- [11] https://www.openwall.com/lists/oss-security/2026/04/09/20
- [12] https://www.openwall.com/lists/oss-security/2026/04/09/16
- [13] https://www.openwall.com/lists/oss-security/2026/04/09/9
Za CESNET, z.s.p.o. Henrieta Paločková dne 13. 4. 2026.