Apache Tomcat 11の応答混在の弱点、11.0.27で修正
Summary
Apache Tomcat 11.0.0-M25 から 11.0.26 に、大きな応答を非ブロッキングで書き込むと、応答の一部が同じ接続の次のリクエストに混ざる欠陥が見つかりました。外部から認証なしで到達できる環境では、2件目のリクエストの失敗や、1件目の応答内容の漏えいにつながるおそれがあります。修正版は 11.0.27 で、該当する版を使っている場合は更新を計画してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Apache Tomcat 11.0.0-M25 から 11.0.26 に、大きな応答を非ブロッキングで書き込むと、応答の一部が同じ接続の次のリクエストに混ざる欠陥が見つかりました。外部から認証なしで到達できる環境では、2件目のリクエストの失敗や、1件目の応答内容の漏えいにつながるおそれがあります。修正版は 11.0.27 で、該当する版を使っている場合は更新を計画してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Apache Software Foundation | Apache Tomcat |
11.0.0-M25 – 11.0.26 |
— |
Fix status by distribution
Fixed packages published by each distribution for this CVE
- Debian DEBIAN-CVE-2026-103119 tomcat11
Original description The description as published by the source.
Buffer under-read vulnerability in Apache Tomcat meant that a large non-blocking write could result in the response body being split between the current request and the next request received on that connection leading most likely to failure of the second request and possibly leakage of data from the first response to the second.
This issue affects Apache Tomcat: from 11.0.0-M25 through 11.0.26.
Users are recommended to upgrade to version 11.0.27, which fixes the issue.
Source: NIST National Vulnerability Database NVD GitHub Advisory
References
- REDHAT Red Hat
- web lists.apache.org
- web nvd.nist.gov
- web github.com
- web openwall.com