بنیاد نرم‌افزاری آپاچی (Apache Software Foundation) نسخه 11.0.26 از سرور Tomcat را برای رفع ۱۲ آسیب‌پذیری امنیتی منتشر کرد. این نقص‌ها حوزه‌های مختلفی از جمله WebSocket، HTTP/2، AJP، احراز هویت (Authentication) و اعتبارسنجی گواهینامه‌های TLS را در بر می‌گیرند.
جزئیات آسیب‌پذیری‌ها و شدت آن‌ها
در میان نقص‌های شناسایی شده، چهار مورد در سطح Important، سه مورد Moderate و پنج مورد در سطح Low طبقه‌بندی شده‌اند. اکثر استقرار‌های فعلی Tomcat 11، به‌ویژه نسخه‌های 11.0.0-M1 تا 11.0.25، در معرض این تهدیدات قرار دارند.
تحلیل فنی نقص‌های کلیدی
- WebSocket Smuggling: در آسیب‌پذیری CVE-2026-87022، مدیریت نادرست پارامتر طول در زمان فعال بودن فشرده‌سازی per-message-deflate، به مهاجم اجازه می‌دهد تا پیام‌های WebSocket را جعل یا جاسازی (Smuggle) کند.
- HTTP/2 Regression: نقص CVE-2026-86350 یک بازگشت (Regression) است که باعث تفسیر متناقض درخواست‌ها شده و منجر به جابه‌جایی هدرها (Request-header mix-up) در نسخه‌های 11.0.22 تا 11.0.25 می‌شود.
- Denial of Service (DoS): چندین نقص از جمله CVE-2026-78383 (در پردازش AJP) و CVE-2026-77791 (در پیام‌های بستن WebSocket) می‌توانند منجر به مصرف بیش از حد منابع و ایجاد وضعیت DoS شوند.
- Authorization Bypass: آسیب‌پذیری CVE-2026-76183 یک نقص مهم در WebSocket است که به دلیل پارس کردن مسیر درخواست‌ها به عنوان الگوهای Endpoint، منجر به دور زدن مکانیزم‌های احراز صلاحیت می‌شود.
اصلاحات در بخش گواهینامه‌ها
دو اصلاحیه مهم در زمینه بررسی گواهینامه‌ها اعمال شده است. CVE-2026-86248 مربوط به نقص در پیاده‌سازی OCSP است که می‌توانست منجر به تایید نادرست احراز هویت CLIENT_CERT شود. همچنین CVE-2026-73581 رفتارهای OpenSSL را اصلاح می‌کند که در برخی شرایط، لیست‌های ابطال گواهینامه (CRL) را نادیده می‌گرفت.
توصیه‌های عملیاتی برای مدیران SOC و مهندسین امنیت
به مدیران سیستم توصیه می‌شود تمامی نمونه‌های Tomcat 11 را شناسایی کرده و به‌ویژه کانکتورهای WebSocket، HTTP/2 و AJP که در معرض اینترنت هستند را در اولویت قرار دهند. تنها راهکار عملی، ارتقا به نسخه 11.0.26 است، زیرا آپاچی برای هر آسیب‌پذیری به‌طور مجزا Patch ارائه نمی‌دهد.
پس از به‌روزرسانی، توصیه می‌شود موارد زیر بررسی شوند:
- تایید اصالت فایل‌ها با استفاده از امضاهای OpenPGP یا Checksumهای SHA-512.
- بازبینی پیکربندی‌های Reverse-proxy و سیستم‌های احراز هویت.
- مانیتورینگ دقیق برای شناسایی هرگونه ناهنجاری در هدرهای درخواست‌ها یا اتمام غیرعادی منابع اتصال (Connection Exhaustion).
