Tomcatに認証回避と応答混在の欠陥、CVSS 9.1で更新を

やること

Tomcat（Java の Web アプリを動かすサーバー）を次のバージョンへ更新してください。

• 11.0系は 11.0.27、10.1系は 10.1.61、9.0系は 9.0.123 です
• 8.5系と 7.0系はサポートが終わっていて修正版が出ないので、サポート中のバージョンへ移ってください
• 公式はバイナリのパッチを出していないので、バージョンを上げて対応してください

Ubuntu の tomcat パッケージは CVE-2026-101296 について「確認中」で、USN（Ubuntu のセキュリティ通知）も出ていません。Ubuntu のパッケージのバージョンは公式のバージョン番号とは別なので、番号だけでは判断できません。USN が出たら apt で更新してください。

更新までの間にできる回避策は、Apache の告知には書かれていません。修正は更新だけです。

何が危ないのか

Apache Tomcat は、10月20日に重要度が Important の欠陥3件を CVE として公表しました。11.0.27 のページには全部で7件（Important 3件、Low 4件）、10.1.61 のページには6件（Important 2件、Low 4件）が載っています。

• CVE-2026-101296：JNDIRealm（ディレクトリーで利用者を確かめる機能）を GSSAPI 以外の SASL で使うと、正しいパスワードなしで認証を通れます
• CVE-2026-101356：HTTP/2 と非同期のサーブレットの組み合わせで、利用者の間で要求や応答が混ざることがあります
• CVE-2026-103119：AJP という接続で大きなデータを送ると、応答の一部が次の要求へ混ざり、情報が漏れるおそれがあります。11.0系だけの欠陥です

Apache は CVSS を付けていません。上の 9.1 は米国の CISA が CVE-2026-101296 に付けた v4.0 の値で、ネットワークから届き、ログインは要らず、利用者の操作も要らないという評価です。同じ記録で、CISA は悪用を「なし」としています。悪用の確認は公表されていません。

3件の違い

CVE-2026-101296 は、認証を通すかどうかの判定が抜けていたものです。JNDIRealm は、社内のディレクトリーサーバーに問い合わせて利用者を確かめる Tomcat の部品です。この部品を GSSAPI 以外の SASL（認証のやり取りの方式）で設定していると、パスワードの検証が実質的に行われません。GSSAPI を使っている環境は対象外です。

CVE-2026-101356 は、HTTP/2 で非同期サーブレットを使い、その処理の途中でエラーが起きたときに起こります。部品の使い回しに不備があり、別の利用者の要求や応答が混ざります。

CVE-2026-103119 は、大きなデータをブロックせずに書き出すときに、読み取る位置を誤るものです。応答の本文が、いまの要求と同じ接続の次の要求に分かれてしまい、次の要求が失敗する可能性が高くなります。最初の応答のデータが次の応答に漏れることもあります。

Tomcat を直接使っていなくても、Java の業務システムや製品の中に Tomcat が入っていることがあります。その場合は、バージョンと更新の予定を製品の提供元に問い合わせてください。

対象

CVE-2026-101296 の対象は、11.0.0-M1〜11.0.26、10.1.0-M1〜10.1.60、9.0.0.M1〜9.0.122 です。サポートが終わった 8.5.0〜8.5.100 と 7.0.0〜7.0.109 も影響を受けることが知られています。

CVE-2026-101356 の対象は 11.0.22〜11.0.26、10.1.55〜10.1.60、9.0.118〜9.0.122、CVE-2026-103119 の対象は 11.0.0-M25〜11.0.26 です。

8月25日と9月23日の公表分にも Important の欠陥があります。途中のバージョンを飛ばしていても、上のバージョンへ上げればまとめて修正されます。