CVE-2026-53434: Falha na Configuração de CRL em Conector FFM do Apache Tomcat (CWE-390)
O Apache Tomcat é afetado por uma fraqueza CWE-390 (Detecção de Condição de Erro Sem Ação) na configuração de listas de certificados revogados (CRLs) de um conector baseado em FFM. O registro atribui pontuação CVSS 3.1 de 9.1 (crítica) e lista faixas afetadas em três ramos de versão, com correções nas versões 11.0.23, 10.1.56 e 9.0.119. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O registro descreve uma fraqueza CWE-390 no Apache Tomcat, indicada como Detecção de Condição de Erro Sem Ação, que afeta a configuração de listas de certificados revogados (CRLs) para um conector baseado em FFM. A thread de lista de discussão de segurança do Apache é a principal fonte do fornecedor presente no registro.
Impacto
- As fontes consultadas não detalham as consequências práticas da falha.
- O vetor CVSS 3.1 do registro (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) descreve um problema acessível pela rede, sem exigir privilégios ou interação do usuário, com alto impacto em confidencialidade e integridade. Essa leitura é uma inferência a partir do vetor.
- Como a fraqueza envolve detecção de erro no tratamento de CRLs, um efeito plausível é que erros de revogação não sejam tratados como esperado. Trata-se de inferência, não de resultado confirmado.
Produtos e versões afetadas
- Apache Tomcat de 11.0.0-M1 até 11.0.22
- Apache Tomcat de 10.1.0-M7 até 10.1.55
- Apache Tomcat de 9.0.83 até 9.0.118
O texto do aviso recomenda atualizar para 11.0.23, 10.1.56 ou 9.0.119, uma versão para cada ramo.
Status de exploração
O registro indica que este CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00586, com percentil de 0.46552, conforme registrado.
Correção e mitigação
- Atualize o Apache Tomcat para 11.0.23, 10.1.56 ou 9.0.119, conforme o ramo instalado.
- Priorize instâncias que usam o conector baseado em FFM com configuração de CRL, pois é o recurso citado no registro.
- Se a atualização não puder ser aplicada de imediato, revise a exposição de rede do conector afetado e confirme as configurações de CRL com a política de certificados da organização. Não há passos específicos de contorno nas fontes consultadas.
Orientações de detecção
- Faça inventário das instalações do Apache Tomcat e das versões exatas, incluindo implantações embutidas.
- Verifique se configurações de CRL estão em uso no tipo de conector afetado.
- Analise logs de aplicação e do servidor em busca de erros de validação de certificado ou verificações de revogação que não produziram o resultado esperado, e investigue anomalias.
Limitações das informações disponíveis
- O registro não traz título, lista de correções nem nome da CWE, então o rótulo CWE vem apenas do identificador.
- Estão disponíveis apenas a descrição do fornecedor e os dados CVSS do registro; não há detalhes de exploração nem causa raiz técnica.
- Não é informado se configurações padrão são afetadas ou apenas configurações explícitas de CRL.
- A pontuação CVSS vem de fonte CNA; nenhum outro provedor de pontuação é listado.
- A data do EPSS no registro é posterior à data de publicação, então sua temporalidade deve ser interpretada com cautela.
Fontes consultadas: entrada no NVD, Registro CVE, thread da lista do Apache, post oss-security na Openwall.
Perguntas frequentes
Quais versões do Apache Tomcat são corrigidas no CVE-2026-53434?
O texto do aviso recomenda atualizar para 11.0.23 no ramo 11.0, 10.1.56 no ramo 10.1 ou 9.0.119 no ramo 9.0.
O CVE-2026-53434 é explorado?
O registro indica que ele não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.