28
Aug 2026
Alerta de Vulnerabilidade - Apache Tomcat
SISTEMAS AFETADOS
Apache Tomcat
|
CVSS v3.1 - Resumo Técnico CVSS: 9.8 / 10 - Crítico
|
| CVE |
CVE-2026-65637/EUVD-2026-66127 |
| Vetor |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Vetor de Ataque |
Rede |
Explorável remotamente através da rede |
| Complexidade |
Baixa |
Fácil de explorar |
| Requisitos de Ataque |
Nenhum |
A exploração requer HTTP/2 e configuração com múltiplos virtual hosts com autenticação por certificado ao nível do conector |
| Privilégios |
Nenhum |
Sem autenticação |
| Interação |
Nenhuma |
Não requer intervenção do utilizador |
Impacto no sistema vulnerável
(C/I/A) |
Alta / Alta / Alta |
Comprometimento total da confidencialidade, integridade e disponibilidade |
Impacto em sistemas subsequentes
(C/I/A) |
Nenhum / Nenhum / Nenhum |
O impacto permanece no âmbito do sistema vulnerável |
| Resumo |
Vulnerabilidade de validação de input incorreta (CWE-20) no Apache Tomcat resultante de um fix incompleto para o CVE-2026-32990. Pedidos HTTP/2 sem a pseudo-cabeçalho :authority contornam a validação estrita de SNI, permitindo acesso a virtual hosts protegidos por autenticação por certificado ao nível do conector. Nota: o Apache classifica esta vulnerabilidade como Moderate na sua escala interna; a EUVD e a NVD atribuem CVSS 9.8. |
Descrição
Vulnerabilidade de validação de input incorreta (CWE-20) no Apache Tomcat, com o identificador CVE-2026-65637/EUVD-2026-66127 [1][2][3]. O Apache Tomcat suporta validação estrita de SNI (Server Name Indication), que verifica a correspondência entre o hostname indicado pelo cliente na extensão TLS SNI e o hostname declarado no pseudo-cabeçalho :authority do protocolo HTTP/2. Esta validação foi introduzida para corrigir o CVE-2026-32990, cuja correção não cobre os pedidos HTTP/2 enviados sem o pseudo-cabeçalho :authority, permitindo que estes contornem a validação [1].
A exploração requer que o Tomcat esteja configurado com múltiplos virtual hosts, que pelo menos um deles exija autenticação por certificado de cliente (CLIENT-CERT) ao nível do conector, e que o cliente utilize HTTP/2. A vulnerabilidade não se aplica quando a autenticação por certificado é imposta ao nível da aplicação web [1].
São afetadas as versões que aplicaram a correção do CVE-2026-32990 [1][2][3]:
- Apache Tomcat 11.0: versões 11.0.20 a 11.0.24
- Apache Tomcat 10.1: versões 10.1.53 a 10.1.57
- Apache Tomcat 9.0: versões 9.0.115 a 9.0.120
Impacto
Nas configurações afetadas, um cliente sem certificado válido pode enviar pedidos HTTP/2 sem o pseudo-cabeçalho :authority, contornando a validação estrita de SNI e acedendo a virtual hosts protegidos por autenticação por certificado ao nível do conector [1].
Resolução
Recomenda-se a atualização para a versão corrigida da respetiva ramificação [1]:
- Apache Tomcat 11.0.x: 11.0.25 ou posterior
- Apache Tomcat 10.1.x: 10.1.58 ou posterior
- Apache Tomcat 9.0.x: 9.0.121 ou posterior
As mesmas versões corrigem também vulnerabilidades classificadas como "Important" pelo Apache, incluindo bypass de restrições de segurança (CVE-2026-65182), bypass de controlo de acesso via RewriteValve (CVE-2026-65927), autenticação que não rejeita utilizadores inválidos no DataSourceRealm e JDBCRealm (CVE-2026-68569), e negação de serviço por fuga de memória em HTTP/2 (CVE-2026-68763) [1].
Referências
[1] -
https://tomcat.apache.org/security-11.html[2] -
https://nvd.nist.gov/vuln/detail/CVE-2026-65637[3] -
https://euvd.enisa.europa.eu/vulnerability/CVE-2026-65637
