Kerngegevens
- Leverancier
- Apache
- Product
- Apache Tomcat
- Soort software
- webserver
- Getroffen versies
- Apache Tomcat 11.0.0-M1 t/m 11.0.26, 10.1.0-M1 t/m 10.1.60, 9.0.0.M1 t/m 9.0.122, 8.5.0 t/m 8.5.100 (niet meer ondersteund), 7.0.0 t/m 7.0.109 (niet meer ondersteund)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Apache Tomcat 11.0.27
- Apache Tomcat 10.1.61
- Apache Tomcat 9.0.123
- CVE gepubliceerd
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Apache Tomcat zit een fout in de controle van de aanmelding. Als de JNDI-realm is ingesteld met een SASL-methode die niet GSSAPI is, kan een aanvaller inloggen zonder het juiste wachtwoord. De ernst is kritiek (9,1). Volgens de gegevens wordt het lek op dit moment niet actief misbruikt.
Wie loopt risico?
Je loopt risico als je Apache Tomcat draait met een JNDI-realm voor authenticatie en daarbij een SASL-mechanisme gebruikt dat niet GSSAPI is. Dat geldt voor Tomcat 11.0.0-M1 tot en met 11.0.26, 10.1.0-M1 tot en met 10.1.60 en 9.0.0.M1 tot en met 9.0.122. Ook de verouderde reeksen 8.5.0 tot en met 8.5.100 en 7.0.0 tot en met 7.0.109 zijn getroffen, en andere niet meer ondersteunde versies mogelijk ook. De aanval gaat via het netwerk.
Wat moet je doen?
Controleer of je Tomcat gebruikt
Ga na op welke servers Apache Tomcat draait en welke versie dat is. Kijk ook of de JNDI-realm is ingesteld met een SASL-mechanisme dat niet GSSAPI is.
Werk Tomcat bij
Update naar Tomcat 11.0.27, 10.1.61 of 9.0.123, afhankelijk van de reeks die je gebruikt. Volgens de leverancier lossen deze versies het probleem op.
Vervang verouderde versies
Gebruik je Tomcat 8.5 of 7.0, dan staat daar in de gegevens geen opgeloste versie voor. Stap over op een ondersteunde reeks met een van de genoemde opgeloste versies.
Beperk blootstelling zolang je nog niet bijwerkt
Zorg dat Tomcat niet onnodig vanaf internet bereikbaar is, en volg het advies van de leverancier. Controleer de inlogmeldingen op aanmeldingen die je niet herkent.
Dezelfde update lost meer lekken op
Tomcat 11.0.27 (en 10.1.61 en 9.0.123) lost ook een kritiek HTTP/2-lek op waarbij verkeer van gebruikers door elkaar kan lopen (CVE-2026-101356, https://lekkenradar.nl/cve/cve-2026-101356/) en een buffer under-read in Tomcat 11 (CVE-2026-103119, https://lekkenradar.nl/cve/cve-2026-103119/).
Let op: Apache Tomcat 9.0 krijgt na 31 maart 2027 geen updates meer. Plan je overstap naar Apache Tomcat 10.0. Bekijk bij Producten zonder updates
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een ontbrekende cruciale stap in de authenticatie (CWE-304) in de JNDI-realm van Apache Tomcat. Wordt die realm gebruikt met een SASL-mechanisme dat niet GSSAPI is, dan wordt het opgegeven wachtwoord niet correct gecontroleerd. Een aanvaller kan zich daardoor als een bestaande gebruiker aanmelden zonder het juiste wachtwoord. De aanval is via het netwerk uit te voeren zonder voorafgaande rechten of gebruikersinteractie. De CVSS 4.0-score van 9,1 komt van de CNA en wijst vooral op een groot effect op vertrouwelijkheid en integriteit.
CVSS-vector (versie 4.0, basisscore 9,1, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-304 · Ontbrekende cruciale stap in authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,7%
- Aanvalscode openbaar
- Nee