Kerngegevens
- Leverancier
- Apache
- Product
- Apache Tomcat
- Soort software
- webserver
- Getroffen versies
- Apache Tomcat 11.0.0-M25 t/m 11.0.26
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Apache Tomcat 11.0.27
- CVE gepubliceerd
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Apache Tomcat 11 zit een fout bij het verwerken van grote niet-blokkerende schrijfacties. Daardoor kan de inhoud van een antwoord worden verdeeld over het huidige verzoek en het volgende verzoek op dezelfde verbinding. Meestal gaat dan het tweede verzoek mis, maar het is mogelijk dat gegevens uit het eerste antwoord in het tweede antwoord terechtkomen.
Wie loopt risico?
Je loopt risico als je Apache Tomcat gebruikt in een versie vanaf 11.0.0-M25 tot en met 11.0.26. De fout is via het netwerk te benutten, zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. Actief misbruik is in de gegevens niet bekend.
Wat moet je doen?
Controleer je Tomcat-versie
Kijk na of je Apache Tomcat 11 gebruikt en welke versie er draait. Versies vanaf 11.0.0-M25 tot en met 11.0.26 zijn getroffen.
Werk bij naar 11.0.27
Update naar Apache Tomcat 11.0.27. De leverancier meldt dat het probleem in deze versie is opgelost.
Start de dienst opnieuw op
Herstart Tomcat na de update, zodat de nieuwe versie echt actief is. Controleer daarna of je applicaties normaal werken.
Lees het advies van de leverancier
Het bericht van Apache op de mailinglijst bevat de officiële details. Beperk tot je hebt bijgewerkt waar mogelijk de blootstelling van Tomcat aan onbetrouwbare netwerken.
Dezelfde update lost meer lekken op
Tomcat 11.0.27 (en 10.1.61 en 9.0.123) lost ook een kritiek HTTP/2-lek op waarbij verkeer van gebruikers door elkaar kan lopen (CVE-2026-101356, https://lekkenradar.nl/cve/cve-2026-101356/) en een kritiek lek waarbij inloggen zonder wachtwoord mogelijk is via de JNDI-realm (CVE-2026-101296, https://lekkenradar.nl/cve/cve-2026-101296/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een buffer under-read (CWE-127) in Apache Tomcat. Bij een grote niet-blokkerende schrijfactie wordt de responsbody gesplitst tussen het huidige verzoek en het volgende verzoek dat op dezelfde verbinding binnenkomt. Dit leidt meestal tot een fout bij het tweede verzoek en mogelijk tot het lekken van gegevens uit het eerste antwoord naar het tweede. Het lek is via het netwerk te bereiken met lage complexiteit, zonder rechten en zonder gebruikersinteractie. De CVSS-vector (3.1) geeft een hoge impact op vertrouwelijkheid en beschikbaarheid, en geen impact op integriteit.
CVSS-vector (versie 3.1, basisscore 9,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H- Zwakheid (CWE)
- CWE-127 · Buffer under-read (lezen voor het begin van een buffer)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,6%
- Aanvalscode openbaar
- Nee