نسخه Apache Tomcat 11.0.26 با هدف رفع ۱۲ آسیب‌پذیری امنیتی منتشر شده است. یکی از بحرانی‌ترین این موارد، نقص امنیتی است که به مهاجمان اجازه می‌دهد محدودیت‌های امنیتی (Security Constraints) محافظت‌کننده از نقاط پایانی (Endpoints) سرویس WebSocket را دور بزنند.
جزئیات آسیب‌پذیری‌های کلیدی
بحرانی‌ترین نقص امنیتی که با شناسه CVE-2026-76183 ردیابی می‌شود، مربوط به دور زدن محدودیت‌های دسترسی در WebSocket است. در این مورد، Tomcat مسیر درخواست‌ها را به اشتباه به عنوان الگوهای نقطه پایانی (Endpoint Templates) تجزیه می‌کرد که این امر منجر به دور زدن کنترل‌های دسترسی می‌شد. این مشکل تمامی نسخه‌های Tomcat 11 از 11.0.0-M1 تا 11.0.25 را تحت تأثیر قرار داده است.
علاوه بر این، آسیب‌پذیری CVE-2026-87022 که دارای شدت پایین است، یک نقص از نوع Message-Smuggling در WebSocket است که در صورت فعال بودن افزونه per-message-deflate، به دلیل پردازش نادرست پارامتر طول پیام رخ می‌دهد.
حملات Denial-of-Service (DoS)
در این به‌روزرسانی، سه مورد مهم از آسیب‌پذیری‌های منجر به توقف سرویس (DoS) برطرف شده‌اند:
- CVE-2026-79677: ناشی از یک خطای Concurrency که باعث گم شدن Time-outهای نوشتن در WebSocket غیرهمزمان شده و منجر به اختلال در سرویس می‌گردد.
- CVE-2026-77791: ایجاد وضعیت Busy-wait هنگام ارسال پیام بستن (Close) در WebSocket.
- CVE-2026-78383: مربوط به استقرار‌های AJP؛ در این مورد، درخواست‌های بدون بدنه (Body) می‌توانند باعث قفل شدن Threadهای پردازشی AJP و در نهایت اتمام ظرفیت Worker Threadها شوند.
اصلاحات در HTTP/2 و سایر موارد
این نسخه همچنین نقص CVE-2026-86350 را در پروتکل HTTP/2 برطرف کرده است که یک Regression در مربوط به Request-header بود و نسخه‌های 11.0.22 تا 11.0.25 را تحت تأثیر قرار داده بود.
توصیه‌های امنیتی برای مدیران سیستم
به مدیرانی که از نسخه‌های 11.0.25 یا قدیمی‌تر استفاده می‌کنند، توصیه می‌شود سریعاً به نسخه 11.0.26 ارتقا دهند. همچنین اقدامات زیر پیشنهاد می‌شود:
- بررسی دقیق محدودیت‌های نقاط پایانی WebSocket.
- غیرفعال کردن کانکتور AJP در صورتی که مورد نیاز نیست یا محدود کردن دسترسی آن از شبکه‌های غیرقابل اعتماد.
- محدود کردن ترافیک بین Reverse Proxy و Tomcat.
- بررسی رفتار Certificate-revocation در کانکتورهای مبتنی بر OpenSSL.
