Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Apache Tomcat opravuje kritickou zranitelnost
Apache Tomcat verzemi 11.0.24, 10.1.57 a 9.0.120 opravuje 1 kritickou zranitelnost [1]. Dále upozorňuje na chybu v dokumentaci [2]. Pro stabilní vydání Debianu byly bezpečnostní opravy vydány pouze v balíčku tomcat9 ve verzi 9.0.118-0+deb11u1 pro bullseye (security) a ve verzi 9.0.70-2 pro bookworm [3]. Red Hat ani Ubuntu [4] opravy zatím neposkytly, případně jejich vydání zranitelností postižena nejsou. Distribuce Gentoo má opravené verze k dispozici ve fázi testování pro architektury amd64 a arm64 [5].
Neautentizovanému vzdálenému útočníkovi je zasláním speciálně kódovaného URL požadavku umožněno obejít bezpečnostní omezení a kontroly přístupu v komponentě RewriteValve [1].
Zranitelnost se nachází v produktu:
- Apache Tomcat; <=9.0.119; >=10.1.0-M1, <=10.1.56; >=11.0.0-M1, <=11.0.23;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Více informací:
- CVE-2026-59083 na cve.org, NVD
- CWE-177: Improper Handling of URL Encoding (Hex Encoding) na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 7. 2026.
Odkazy
- [1] https://lists.apache.org/thread/3g63zos2gkjo5vgnrk8kxmosv47w6wbq
- [2] https://lists.apache.org/thread/7w9746ootcxo0gvx26xjpw80l31f1qw7
- [3] https://security-tracker.debian.org/tracker/CVE-2026-59083
- [4] https://ubuntu.com/security/CVE-2026-59083
- [5] https://packages.gentoo.org/packages/www-servers/tomcat
Za CESNET, z.s.p.o. Ondrej Pavlovič dne 21. 7. 2026.