FICHE CVE

CVE-2026-55957

Publiée le 2026-06-29 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les serveurs Apache Tomcat configurés pour utiliser JNDIRealm avec l'authentification GSSAPI sont sensibles à un contournement de l'authentification. Un attaquant distant non authentifié peut accéder à des zones restreintes de l'application sans fournir de mot de passe valide. Cette exploitation est relativement facile à exécuter, car elle ne nécessite qu'un accès réseau et aucune interaction de l'utilisateur.

CVSS 3.17.3 ÉLEVÉE

Type de faiblesse

CWE-304

Publiée2026-06-29

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Missing Critical Step in Authentication vulnerability in Apache Tomcat when the JNDIRealm was configured to authenticate binds using GSSAPI allowed attackers to authenticate without provided the correct password. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.4, from 10.1.0-M1 through 10.1.36, from 9.0.0.M1 through 9.0.100, from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Users are recommended to upgrade to version 11.0.5, 10.1.37 or 9.0.101, which fixes the issue.