CVE-2026-55276: Apache Tomcat: fluxo de controle incorreto no log do web.xml efetivo
O Apache Tomcat omite funções especiais e restrições de autorização vazias ao registrar o web.xml efetivo, uma falha CWE-670. O CNA classifica como crítica, com CVSS 3.1 de 9.1, e recomenda atualizar para as versões corrigidas de cada ramo afetado. O registro não aponta inclusão no KEV da CISA e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-55276 é uma falha no Apache Tomcat classificada como CWE-670 (implementação de fluxo de controle sempre incorreto). Segundo o CNA, funções especiais e restrições de autorização vazias não foram incluídas quando o web.xml efetivo era registrado no log.
Impacto
- A descrição publicada não informa consequência direta além da saída de log incompleta.
- Como o log fica incompleto, administradores podem interpretar mal quais funções e restrições de autorização estão em vigor (inferência).
- A pontuação CVSS 3.1 atribuída pelo CNA é 9.1 (crítica), refletindo alcance pela rede, baixa complexidade, ausência de privilégios exigidos e de interação do usuário, com alto impacto em confidencialidade e integridade.
Produtos e versões afetadas
- Apache Tomcat de 11.0.0-M1 até 11.0.22.
- Apache Tomcat de 10.1.0-M1 até 10.1.55.
- Apache Tomcat de 9.0.0.M1 até 9.0.118.
- Apache Tomcat de 8.5.0 até 8.5.100.
- Segundo o CNA, outras versões já fora de suporte também podem ser afetadas.
Os intervalos afetados no registro terminam antes de 9.0.119, antes de 10.1.56 e antes de 11.0.23.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS registrada é 0.00607, com percentil 0.47603.
Remediação e mitigação
- O CNA recomenda atualizar para Apache Tomcat 11.0.23, 10.1.56 ou 9.0.119.
- O registro não informa versão corrigida para a linha 8.5; trate como desconhecido e planeje a migração para um ramo suportado que receba correção (inferência).
- Até a conclusão das correções, verifique funções e restrições diretamente nos arquivos web.xml implantados, e não apenas na saída de log.
- Acompanhe a discussão na lista da Apache e a entrada no NVD.
Orientação de detecção
- Compare a configuração de segurança efetiva reportada nos logs com os arquivos de configuração em disco para identificar funções ou restrições ausentes.
- Monitore alterações inesperadas em atribuições de funções ou regras de acesso após reinícios ou atualizações.
Limitações das informações disponíveis
- A lista de correções do registro está vazia; as versões corrigidas baseiam-se na descrição do CNA.
- A descrição não traz detalhes de exploração, prova de conceito nem condições de implantação.
- O registro não indica correção para a linha 8.5.
- As fontes consultadas limitam-se às referências listadas.
Perguntas frequentes
Há exploração ativa conhecida desta CVE?
O registro indica que ela não consta no KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Para quais versões devo atualizar?
O CNA recomenda 11.0.23, 10.1.56 ou 9.0.119, conforme o seu ramo. O registro não informa versão corrigida para a linha 8.5.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.