CVE-2026-101296
Publiée le 2026-10-20 · Dernière modification le 2026-10-21
Les versions 7.0.0 à 7.0.109, 8.5.0 à 8.5.100, 9.0.0.M1 à 9.0.122, 10.1.0-M1 à 10.1.60 et 11.0.0-M1 à 11.0.26 d'Apache Tomcat sont concernées. Ce logiciel de serveur web est utilisé pour héberger des applications basées sur Java. La faille survient lorsque le domaine JNDI est configuré avec un mécanisme d'authentification SASL autre que GSSAPI, car une étape de vérification critique est omise lors du processus de connexion.
Un attaquant peut contourner entièrement l'authentification pour obtenir un accès non autorisé à des zones restreintes du serveur sans fournir de mot de passe valide. Cela a un impact important sur la confidentialité et l'intégrité, car l'attaquant peut consulter ou modifier des données protégées. L'exploitation est facile à exécuter via le réseau et ne nécessite ni authentification préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A missing critical step in authentication vulnerability in Apache Tomcat when the JNDI realm was configured with with a non GSSAPI SASL authentication mechanism allowed attackers to authenticate without providing the correct password. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.26, from 10.1.0-M1 through 10.1.60, from 9.0.0.M1 through 9.0.122. The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be affected. Users are recommended to upgrade to version 11.0.27, 10.1.61 or 9.0.123, which fix the issue.