PT-2026-31696 · Apache+2 · Apache Tomcat+2

Xclow3N · Publicado 2026-03-23 · Atualizado 2026-06-02 · CVE-2026-24880

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:C/A:N

Name of the Vulnerable Software and Affected Versions Apache Tomcat versões 11.0.0-M1 através de 11.0.18, 10.1.0-M1 através de 10.1.52, 9.0.0.M1 através de 9.0.115, 8.5.0 através de 8.5.100, e 7.0.0 através de 7.0.109

Description Uma interpretação inconsistente de requisições HTTP ('Smuggling de Requisição/Resposta HTTP') existe no Apache Tomcat devido a uma extensão de chunk inválida. Isso pode potencialmente permitir que um atacante contrabandeie requisições, levando a um comportamento inesperado ou violações de segurança.

Recommendations Atualize para a versão 11.0.20 Atualize para a versão 10.1.52 Atualize para a versão 9.0.116

Correção

DoS

HTTP Request/Response Smuggling

Enumeração de Fraquezas

CWE-444

Identificadores relacionados

BDU:2026-06932

BIT-TOMCAT-2026-24880

CVE-2026-24880

GHSA-563X-Q5RQ-57QP

MGASA-2026-0095

OESA-2026-1970

OPENSUSE-SU-2026:10547-1

OPENSUSE-SU-2026:10548-1

OPENSUSE-SU-2026:10549-1

OPENSUSE-SU-2026:20595-1

OPENSUSE-SU-2026:20611-1

OPENSUSE-SU-2026:20612-1

RHSA-2026:20405

SUSE-SU-2026:1558-1

SUSE-SU-2026:1572-1

SUSE-SU-2026:1603-1

SUSE-SU-2026:1604-1

Produtos afetados

Apache Tomcat

Confluence

Red Os

Referências · 99

• https://github.com/apache/tomcat · Nota
• https://github.com/apache/tomcat/commit/1b586d6aa8ae65726da5fa8799427b5d4718478a · Nota
• https://github.com/apache/tomcat/commit/2cb06c34f661ca42f7570bbcc21e99806184bcc5 · Nota
• https://github.com/apache/tomcat/commit/fde1a8235fb73125217bd41e162aa0a113f33552 · Nota
• https://github.com/apache/tomcat/commit/6d478dbe18b7c4bb671c30fedf130309b0dab77c · Nota
• https://github.com/apache/tomcat/commit/1e71441a15972f56e661b0b549fb9e5d838b83bb · Nota
• https://github.com/apache/tomcat/commit/f07df938d00f7419b40fa65aa912966d0efac522 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2026:20595-1 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti-red-os-8-0/uyazvimost-tomcat-cve-2026-24880-8.0 · Nota
• https://osv.dev/vulnerability/MGASA-2026-0095 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-34486 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2026:20612-1 · Aviso do Fabricante
• https://lists.apache.org/thread/2c682qnlg2tv4o5knlggqbl9yc2gb5sn · Aviso do Fabricante
• https://tomcat.apache.org/security-10 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-29145 · Nota de Segurança