Apache Tomcat 11.0.26 Remediază o Regresie de Amestecare a Antetelor HTTP/2 (CVE-2026-86350)

Apache Tomcat 11.0.26 a fost lansat pe 15 septembrie 2026 pentru a remedia o vulnerabilitate critică de regresie, CVE-2026-86350, care afectează gestionarea cererilor HTTP/2. Această problemă a apărut în urma unei patch-uri pentru un bug anterior HTTP/2 (CVE-2026-41293) și a persistat în versiunile 11.0.22 până la 11.0.25. Vulnerabilitatea permite ca antetele să fie asociate incorect cu cereri diferite ale clienților pe aceeași conexiune, din cauza unei interpretări inconsistente a cererilor HTTP/2 în cadrul conectorului.

Detaliile tehnice relevă că regresia a cauzat atribuirea antetelor către cererea greșită a clientului. Acest amestec de antete are consecințe practice semnificative, inclusiv livrarea potențială a răspunsurilor cache sau proxy către clienți neintenționați și aplicarea incorectă a măsurilor de securitate, cum ar fi regulile de rutare sau limitarea ratei, care se bazează pe informații corecte din antete. Deși vendorul a clasificat problema ca fiind 'Importantă', o analiză terță parte i-a atribuit un scor CVSS de 9.1 (CWE-444), indicând o severitate ridicată.

Versiunile afectate includ 11.0.22-11.0.25, 10.1.55-10.1.59 și 9.0.118-9.0.121, Tomcat 8.5 nefiind afectat. Principala soluție este actualizarea la Tomcat 11.0.26, 10.1.60 sau 9.0.122. Pentru cei care nu pot face upgrade imediat, dezactivarea HTTP/2 pe conector sau implementarea unei validări mai stricte a proxy-ului upstream sunt măsuri temporare recomandate. Nu a fost confirmată exploatarea în sălbăticie.