CVE-2026-74048
Publiée le 2026-10-20 · Dernière modification le 2026-10-29
Les versions 11.0.0-M14 à 11.0.26, 10.1.22 à 10.1.60 et 9.0.92 à 9.0.122 d'Apache Tomcat sont concernées. Ce logiciel de serveur web utilise l'OpenSSLLifecycleListener pour appliquer une cryptographie conforme à la norme FIPS pour les communications sécurisées. La faille survient lorsque l'activation de FIPS échoue ; au lieu de s'arrêter ou de bloquer le trafic, Tomcat enregistre une erreur et « reste ouvert » en revenant à un mode non conforme à FIPS.
Un attaquant pourrait potentiellement compromettre la confidentialité des données cryptées s'il parvient à contourner les contraintes de sécurité FIPS prévues. L'exploitation nécessite un accès réseau et une authentification de bas niveau, mais ne requiert aucune interaction de la part d'autres utilisateurs. Bien que l'attaque soit relativement facile à exécuter techniquement, l'impact se limite à la force de sécurité du chiffrement plutôt qu'à une prise de contrôle totale du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Not Failing Securely ('Failing Open') vulnerability in Apache Tomcat. If the OpenSSLLifecycleListener is configured to use FIPS mode but FIPS activation fails, Tomcat logs and error but continues to use JSSE in non-FIPS mode with the provided configuration. This issue affects Apache Tomcat: from 11.0.0-M14 through 11.0.26, from 10.1.22 through 10.1.60, from 9.0.92 through 9.0.122. Users are recommended to upgrade to version 11.0.27, 10.1.61 or 9.0.123, which fix the issue.