Apache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptor
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Apache Tomcat tiene una falla que permite eludir el cifrado de datos sensibles debido a una corrección incompleta. Esto significa que los atacantes podrían interceptar y leer información privada que debería estar protegida.
CVE-2026-34486 implica un bypass del mecanismo EncryptInterceptor en Apache Tomcat versiones 11.0.20, 10.1.53 y 9.0.116. La vulnerabilidad resulta de una corrección insuficiente de CVE-2026-29146, permitiendo que los atacantes eludan las protecciones de cifrado para datos sensibles en tránsito. La explotación requiere acceso a nivel de red para interceptar comunicaciones, con impacto en la violación de confidencialidad de los payloads cifrados.