BDU:2026-06931

Опубликовано: 09 апр. 2026

Источник: fstec

CVSS3: 9.1

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость сервера приложений Apache Tomcat связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии

Вендор

Red Hat Inc.

ООО «Ред Софт»

АО «ИВК»

Apache Software Foundation

Наименование ПО

Red Hat Enterprise Linux

РЕД ОС

АЛЬТ СП 10

Jboss Web Server

Tomcat

Tomcat Native

Версия ПО

7 (Red Hat Enterprise Linux)

8 (Red Hat Enterprise Linux)

7.3 (РЕД ОС)

9 (Red Hat Enterprise Linux)

- (АЛЬТ СП 10)

5 (Jboss Web Server)

6 (Jboss Web Server)

10 (Red Hat Enterprise Linux)

8.0 (РЕД ОС)

от 11.0.0-M1 до 11.0.18 включительно (Tomcat)

от 10.1.0-M7 до 10.1.52 включительно (Tomcat)

от 9.0.83 до 9.0.115 включительно (Tomcat)

от 1.1.23 до 1.1.34 включительно (Tomcat Native)

от 1.2.0 до 1.2.39 включительно (Tomcat Native)

от 1.3.0 до 1.3.6 включительно (Tomcat Native)

от 2.0.0 до 2.0.13 включительно (Tomcat Native)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

Red Hat Inc. Red Hat Enterprise Linux 8

ООО «Ред Софт» РЕД ОС 7.3

Red Hat Inc. Red Hat Enterprise Linux 9

АО «ИВК» АЛЬТ СП 10 -

Red Hat Inc. Red Hat Enterprise Linux 10

ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Tomcat:

https://lists.apache.org/thread/yz5fxmhd2j43wgqykssdo7kltws57jfz

Для РедОС:

https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-29145

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2026-29145

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-29145
CVE

EPSS

Процентиль: 50%

0.00715

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

ROS-20260506-73-0030

CVSS3: 9.1

redos

3 месяца назад

Уязвимость tomcat-native

ROS-20260506-73-0029

CVSS3: 9.1

redos

3 месяца назад

Уязвимость tomcat11

ROS-20260506-73-0028

CVSS3: 9.1

redos

3 месяца назад

Уязвимость tomcat10

ROS-20260506-73-0027

CVSS3: 9.1

redos

3 месяца назад

Уязвимость tomcat

CVE-2026-29145

CVSS3: 9.1

ubuntu

4 месяца назад

CLIENT_CERT authentication does not fail as expected for some scenarios when soft fail is disabled vulnerability in Apache Tomcat, Apache Tomcat Native. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.18, from 10.1.0-M7 through 10.1.52, from 9.0.83 through 9.0.115; Apache Tomcat Native: from 1.1.23 through 1.1.34, from 1.2.0 through 1.2.39, from 1.3.0 through 1.3.6, from 2.0.0 through 2.0.13. Users are recommended to upgrade to version Tomcat Native 1.3.7 or 2.0.14 and Tomcat 11.0.20, 10.1.53 and 9.0.116, which fix the issue.

EPSS

Процентиль: 50%

0.00715

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2