Kerngegevens
- Leverancier
- Apache
- Product
- Apache Tomcat
- Soort software
- webserver
- Getroffen versies
- Apache Tomcat 11.0.20, 10.1.53, 9.0.116
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Apache Tomcat 11.0.21
- Apache Tomcat 10.1.54
- Apache Tomcat 9.0.117
- CVE gepubliceerd
- 9 april 2026
- Op de KEV-lijst sinds
- 4 augustus 2026
- Gepubliceerd op LekkenRadar
- 27 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Apache Tomcat kan de beveiliging van de EncryptInterceptor worden omzeild. De oorzaak is de oplossing voor een eerder lek (CVE-2026-29146), die dit nieuwe probleem veroorzaakte. Daardoor kunnen gevoelige gegevens onversleuteld blijven. Het lek staat sinds augustus 2026 op de lijst van actief misbruikte lekken.
Wie loopt risico?
Je loopt risico als je Apache Tomcat 11.0.20, 10.1.53 of 9.0.116 gebruikt. Een aanvaller kan het lek via het netwerk misbruiken, zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. De gevolgen betreffen vooral de vertrouwelijkheid: gevoelige gegevens kunnen in te lezen zijn. Andere versies van Tomcat worden in de gegevens niet als getroffen genoemd.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van Apache Tomcat je draait. Het lek zit in 11.0.20, 10.1.53 en 9.0.116.
Werk Tomcat bij
Update naar versie 11.0.21, 10.1.54 of 9.0.117, afhankelijk van de tak die je gebruikt. Deze versies lossen het probleem op.
Controleer ook je distributie
Gebruik je Tomcat via een pakket van een leverancier, zoals Red Hat? Kijk dan in het advies van die leverancier welke bijgewerkte pakketten beschikbaar zijn.
Beperk de blootstelling tot je kunt updaten
Kun je niet direct bijwerken, volg dan het advies van de leverancier en zorg dat Tomcat niet onnodig bereikbaar is vanaf internet.
Controleer op verdachte activiteit
Het lek wordt actief misbruikt. Kijk daarom na of er ongebruikelijk netwerkverkeer of toegang tot gevoelige gegevens is geweest op systemen met een getroffen versie.
Let op: Apache Tomcat 9.0 krijgt na 31 maart 2027 geen updates meer. Plan je overstap naar Apache Tomcat 10.0. Bekijk bij Producten zonder updates
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een geval van ontbrekende versleuteling van gevoelige gegevens (CWE-311) in Apache Tomcat. De oplossing voor CVE-2026-29146 maakte het mogelijk om de EncryptInterceptor te omzeilen, waardoor gegevens die versleuteld hadden moeten worden dat niet zijn. De kwetsbaarheid is via het netwerk te misbruiken met lage complexiteit, zonder rechten en zonder gebruikersinteractie. De CVSS-vector (3.1) geeft een hoge impact op de vertrouwelijkheid en geen impact op integriteit of beschikbaarheid. De fout zit in Tomcat 11.0.20, 10.1.53 en 9.0.116 en is verholpen in 11.0.21, 10.1.54 en 9.0.117.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- Zwakheid (CWE)
- CWE-311 · Ontbrekende versleuteling van gevoelige gegevens
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 98,5%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 4 augustus 2026
- Deadline van CISA
- 7 augustus 2026
- Gebruikt door ransomwaregroepen
- Niet bekend