BDU:2026-11871

Опубликовано: 29 июн. 2026

Источник: fstec

CVSS3: 6.5

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость модуля EncryptInterceptor сервера приложений Apache Tomcat связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить атаку повторного воспроизведения

Вендор

Red Hat, Inc.

ООО «Ред Софт»

АО «ИВК»

Apache Software Foundation

Axiom JDK

Наименование ПО

Red Hat Enterprise Linux

РЕД ОС

АЛЬТ СП 10

Red Hat Hardened Images

Tomcat

Libercat Certified

Libercat EE Certified

Версия ПО

6 (Red Hat Enterprise Linux)

7 (Red Hat Enterprise Linux)

8 (Red Hat Enterprise Linux)

7.3 (РЕД ОС)

9 (Red Hat Enterprise Linux)

- (АЛЬТ СП 10)

8.0 (РЕД ОС)

- (Red Hat Hardened Images)

от 8.5.0 до 8.5.100 включительно (Tomcat)

от 7.0.0 до 7.0.109 включительно (Tomcat)

от 11.0.0-M1 до 11.0.22 включительно (Tomcat)

от 10.1.0-M1 до 10.1.55 включительно (Tomcat)

от 9.0.0.M1 до 9.0.118 включительно (Tomcat)

до 10.1.57-1 (Libercat Certified)

до 8.0.16-39 (Libercat EE Certified)

до 9.0.120-1 (Libercat Certified)

до 9.1.3-23 (Libercat EE Certified)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat, Inc. Red Hat Enterprise Linux 6

Red Hat, Inc. Red Hat Enterprise Linux 7

Red Hat, Inc. Red Hat Enterprise Linux 8

ООО «Ред Софт» РЕД ОС 7.3

Red Hat, Inc. Red Hat Enterprise Linux 9

АО «ИВК» АЛЬТ СП 10 -

ООО «Ред Софт» РЕД ОС 8.0

Axiom JDK Libercat Certified до 10.1.57-1

Axiom JDK Libercat EE Certified до 8.0.16-39

Axiom JDK Libercat Certified до 9.0.120-1

Axiom JDK Libercat EE Certified до 9.1.3-23

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://lists.apache.org/thread/g4p5sf45p3f9r011pwqs9r54yd64s106

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2026-55955

Для Ред ОС: http://repo.red-soft.ru/redos/8.0/x86_64/updates/

Для Ред ОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Ред ОС: http://repo.red-soft.ru/redos/8.0/x86_64/updates/

Для ОС Альт СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-55955
CVE

EPSS

Процентиль: 38%

0.00436

Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

ROS-20260819-73-0061

CVSS3: 6.5

redos

3 месяца назад

Уязвимость tomcat11

ROS-20260819-73-0060

CVSS3: 6.5

redos

3 месяца назад

Уязвимость tomcat10

ROS-20260819-73-0059

CVSS3: 6.5

redos

3 месяца назад

Уязвимость tomcat

ALT-PU-2026-10792

CVSS3: 9.1

altlinux

4 месяца назад

ALT-PU-2026-10792: package `tomcat10` update to version 10.1.56-alt0.p11.1

CVE-2026-55955

CVSS3: 6.5

ubuntu

4 месяца назад

Improper Authentication vulnerability in Apache Tomcat allowed a replay attack against the EncryptionInterceptor in the cluster component. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.22, from 10.1.0-M1 through 10.1.55, from 9.0.13 through 9.0.18, from 8.5.38 through 8.5.100, from 7.0.100 through 7.0.109. Users are recommended to upgrade to version 11.0.23, 10.1.56, 9.0.119, which fixes the issue.

EPSS

Процентиль: 38%

0.00436

Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2