Anmelden
Deutsch English Español Polski
Hoch

Deserialization of Untrusted Data in Apache Tomcat

  • Veröffentlicht: 17.05.2022
  • Aktualisiert: 11.10.2026 12:21

The readObject method in the DiskFileItem class in Apache Tomcat and JBoss Web, as used in Red Hat JBoss Enterprise Application Platform 6.1.0 and Red Hat JBoss Portal 6.0.0, allows remote attackers to write to arbitrary files via a NULL byte in a file name in a serialized instance, a similar issue to CVE-2013-2186.

NOTE: this issue is reportedly disputed by the Apache Tomcat team, although Red Hat considers it a vulnerability. The dispute appears to regard whether it is the responsibility of applications to avoid providing untrusted data to be deserialized, or whether this class should inherently protect against this issue. Regardless the tomcat maintainers have altered the behavior of this method in version 7.0.39.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.apache.tomcat:tomcat < 7.0.39 7.0.39

Verweise

CVSS-Wert -
Schwäche (CWE)
CWE-502
Plattform
Java / Kotlin (Maven)
Paket
org.apache.tomcat:tomcat
Veröffentlicht
17.05.2022
Aktualisiert
11.10.2026 12:21

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-v6c7-8qx5-8gmp - CC BY 4.0

Schwachstellenhistorie: org.apache.tomcat:tomcat

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (162) im Archiv
Einträge insgesamt
162
Erste → letzte
12.2018 08.2026
Ohne Fix
20
In Angriffen ausgenutzt
1

Verteilung nach Schweregrad

  • Kritisch 8
  • Hoch 40
  • Mittel 102
  • Niedrig 12

Veröffentlichungen pro Jahr

Schweregrad:
  1. Apache Tomcat's DIGEST authenticator has an Authentication Bypass by Capture-replay vulnerability
    Kritisch · 9.8 CVE-2026-65905 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0.M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.30, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  2. Apache Tomcat has an Improper Access Control, Incorrect Authorization vulnerability
    Kritisch · 9.1 CVE-2026-65182 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  3. Apache Tomcat's FORM authentication process has an Incorrect Authorization vulnerability
    Kritisch · 9.1 CVE-2026-68525 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  4. Apache Tomcat: Unbounded read in WebDAV LOCK and PROPFIND handling
    Hoch · 7.5 CVE-2026-41284 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  5. Apache Tomcat - Digest authenticator will authenticate any unknown user
    Kritisch · 9.8 CVE-2026-43512 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  6. Apache Tomcat: LockOutRealm treats user names as case-sensitive
    Hoch · 7.5 CVE-2026-43513 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  7. Apache Tomcat - Security constraints not correctly applied
    Kritisch · 9.1 CVE-2026-43515 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  8. Apache Tomcat - WebSocket authentication header exposure
    Hoch · 7.3 CVE-2026-42498 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  9. Apache Tomcat - HTTP/2 request headers not validated
    Kritisch · 9.8 CVE-2026-41293 >= 8.5.0, < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  10. Apache Tomcat vulnerable to Insertion of Sensitive Information into Log File
    Hoch · 7.5 CVE-2026-34487 >= 9.0.13, < 9.0.117, >= 10.1.0-M1, < 10.1.54, >= 11.0.0-M1, < 11.0.21 9.0.117, 10.1.54, 11.0.21
  11. Apache Tomcat has an Improper Encoding or Escaping of Output vulnerability in the JsonAccessLogValve
    Hoch · 7.5 CVE-2026-34483 >= 9.0.40, < 9.0.116, >= 10.1.0-M1, < 10.1.54, >= 11.0.0-M1, < 11.0.21 9.0.116, 10.1.54, 11.0.21
  12. Apache Tomcat Missing Encryption of Sensitive Data vulnerability
    Hoch · 7.5 In Angriffen ausgenutzt CVE-2026-34486 >= 11.0.20, < 11.0.21, >= 10.1.53, < 10.1.54, >= 9.0.116, < 9.0.117 11.0.21, 10.1.54, 9.0.117
  13. Apache Tomcat: Padding Oracle vulnerability in EncryptInterceptor
    Hoch · 7.5 CVE-2026-29146 >= 9.0.13, < 9.0.116, >= 10.1.50, < 10.1.53, >= 11.0.0-M1, < 11.0.20, >= 8.5.38, <= 8.5.100, >= 7.0.100, <= 7.0.109 9.0.116, 10.1.53, 11.0.20
  14. Apache Tomcat: CLIENT_CERT authentication does not fail as expected
    Kritisch · 9.1 CVE-2026-29145 >= 9.0.83, < 9.0.116, >= 10.1.0-M7, < 10.1.53, >= 11.0.0-M1, < 11.0.20 9.0.116, 10.1.53, 11.0.20
  15. Apache Tomcat: Configured cipher preference order not preserved
    Hoch · 7.5 CVE-2026-29129 >= 9.0.114, < 9.0.116, >= 10.1.51, < 10.1.53, >= 11.0.16, < 11.0.20 9.0.116, 10.1.53, 11.0.20
  16. Apache Tomcat Vulnerable to Relative Path Traversal
    Hoch · 7.5 CVE-2025-55752 >= 11.0.0-M1, < 11.0.11, >= 10.1.0-M1, < 10.1.45, >= 9.0.0-M11, < 9.0.109, >= 8.5.6, <= 8.5.100 11.0.11, 10.1.45, 9.0.109
  17. Deserialization of Untrusted Data in Apache Tomcat dieser Eintrag
    Hoch CVE-2013-2185 < 7.0.39 7.0.39
  18. Improper Neutralization of Input During Web Page Generation in Apache Tomcat
    Hoch · 8.1 CVE-2015-5346 >= 9.0.0.M1, < 9.0.0.M2, >= 8.0.0.RC1, < 8.0.31, >= 7.0.0, < 7.0.66 9.0.0.M2, 8.0.31, 7.0.66
  19. Apache Tomcat allows remote attackers to bypass a CSRF protection mechanism by using a token
    Hoch · 8.8 CVE-2015-5351 < 7.0.68, >= 8.0.0, < 8.0.31, >= 9.0.0.M0, < 9.0.0.M2 7.0.68, 8.0.31, 9.0.0.M2
  20. Apache Tomcat does not enforce the maxHttpHeaderSize limit
    Hoch · 7.5 CVE-2011-0534 >= 6.0.0, < 6.0.32, >= 7.0.0, < 7.0.8 6.0.32, 7.0.8
Mehr anzeigen (20) 20 von 48 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.