Exécution de code arbitraire à distance affectant Apache Tomcat
Une vulnérabilité affectant Apache Tomcat pourrait permettre à un attaquant distant de contourner le mécanisme de chiffrement des communications d'un cluster afin d'exécuter du code arbitraire sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Apache Tomcat est un conteneur web et un serveur d'applications pour les environnements Java. Cette solution est affectée par une vulnérabilité libellée CVE-2026-34486, résultant d'une régression introduite lors de la correction d'une faille antérieure, qui permet de contourner le mécanisme de protection assuré par le composant EncryptInterceptor. Son exploitation permettrait à un attaquant non authentifié d'exécuter du code arbitraire à distance sur les systèmes affectés au moyen d'une attaque par désérialisation. Elle est classée haute avec un score de sévérité de 7.5 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Contournement des mécanismes de chiffrement des communications du cluster ;
- Atteinte à la confidentialité, à l'intégrité et à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- Toutes les versions 9.0.x d'Apache Tomcat antérieures à la version 9.0.116 ;
- Toutes les versions 10.1.x d'Apache Tomcat antérieures à la version 10.1.53 ;
- Toutes les versions 11.0.x d'Apache Tomcat antérieures à la version 11.0.20.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Apache Tomcat vers la dernière version stable de la branche utilisée ;
- Restreindre l'accès réseau au port de communication du cluster (généralement TCP/4000) aux seules adresses IP de confiance, conformément aux bonnes pratiques de sécurité recommandées par l'éditeur.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.