Anmelden
Deutsch English Español Polski
Niedrig

Apache Tomcat Vulnerable to Improper Resource Shutdown or Release

  • Veröffentlicht: 27.10.2025
  • Aktualisiert: 11.10.2026 13:20

If an error occurred (including exceeding limits) during the processing of a multipart upload, temporary copies of the uploaded parts written to disc were not cleaned up immediately but left for the garbage collection process to delete. Depending on JVM settings, application memory usage and application load, it was possible that space for the temporary copies of uploaded parts would be filled faster than GC cleared it, leading to a DoS.

This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.11, from 10.1.0-M1 through 10.1.46, from 9.0.0.M1 through 9.0.109.

The following versions were EOL at the time the CVE was created but are known to be affected: 8.5.0 though 8.5.100. Other, older, EOL versions may also be affected. Users are recommended to upgrade to version 11.0.12 or later, 10.1.47 or later or 9.0.110 or later which fixes the issue.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.apache.tomcat.embed:tomcat-embed-core >= 11.0.0-M1, < 11.0.12, >= 10.1.0-M1, < 10.1.47, >= 9.0.0.M1, < 9.0.110, >= 8.5.0, <= 8.5.100 11.0.12, 10.1.47, 9.0.110
Java / Kotlin (Maven) org.apache.tomcat:tomcat >= 11.0.0-M1, < 11.0.12, >= 10.1.0-M1, < 10.1.47, >= 9.0.0.M1, < 9.0.110, >= 8.5.0, <= 8.5.100 11.0.12, 10.1.47, 9.0.110
Java / Kotlin (Maven) org.apache.tomcat:tomcat-catalina >= 11.0.0-M1, < 11.0.12, >= 10.1.0-M1, < 10.1.47, >= 9.0.0.M1, < 9.0.110, >= 8.5.0, <= 8.5.100 11.0.12, 10.1.47, 9.0.110

Verweise

CVSS-Wert 5.3/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H
Schwäche (CWE)
CWE-404
Plattform
Java / Kotlin (Maven)
Paket
org.apache.tomcat.embed:tomcat-embed-core, org.apache.tomcat:tomcat, org.apache.tomcat:tomcat-catalina
Veröffentlicht
27.10.2025
Aktualisiert
11.10.2026 13:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-hgrr-935x-pq79 - CC BY 4.0

Schwachstellenhistorie: org.apache.tomcat:tomcat-catalina

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (41) im Archiv
Einträge insgesamt
41
Erste → letzte
05.2019 08.2026
Ohne Fix
0
In Angriffen ausgenutzt
3

Verteilung nach Schweregrad

  • Kritisch 9
  • Hoch 16
  • Mittel 11
  • Niedrig 5

Veröffentlichungen pro Jahr

Schweregrad:
  1. Apache Tomcat's DIGEST authenticator has an Authentication Bypass by Capture-replay vulnerability
    Kritisch · 9.8 CVE-2026-65905 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0.M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.30, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  2. Apache Tomcat has an Improper Access Control, Incorrect Authorization vulnerability
    Kritisch · 9.1 CVE-2026-65182 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  3. Apache Tomcat's FORM authentication process has an Incorrect Authorization vulnerability
    Kritisch · 9.1 CVE-2026-68525 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  4. Apache Tomcat: Unbounded read in WebDAV LOCK and PROPFIND handling
    Hoch · 7.5 CVE-2026-41284 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  5. Apache Tomcat - Digest authenticator will authenticate any unknown user
    Kritisch · 9.8 CVE-2026-43512 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  6. Apache Tomcat: LockOutRealm treats user names as case-sensitive
    Hoch · 7.5 CVE-2026-43513 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  7. Apache Tomcat - Security constraints not correctly applied
    Kritisch · 9.1 CVE-2026-43515 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  8. Apache Tomcat - WebSocket authentication header exposure
    Hoch · 7.3 CVE-2026-42498 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  9. Apache Tomcat has an Improper Encoding or Escaping of Output vulnerability in the JsonAccessLogValve
    Hoch · 7.5 CVE-2026-34483 >= 9.0.40, < 9.0.116, >= 10.1.0-M1, < 10.1.54, >= 11.0.0-M1, < 11.0.21 9.0.116, 10.1.54, 11.0.21
  10. Apache Tomcat Vulnerable to Relative Path Traversal
    Hoch · 7.5 CVE-2025-55752 >= 11.0.0-M1, < 11.0.11, >= 10.1.0-M1, < 10.1.45, >= 9.0.0-M11, < 9.0.109, >= 8.5.6, <= 8.5.100 11.0.11, 10.1.45, 9.0.109
  11. Apache Tomcat Vulnerable to Improper Resource Shutdown or Release dieser Eintrag
    Niedrig · 5.3 CVE-2025-61795 >= 11.0.0-M1, < 11.0.12, >= 10.1.0-M1, < 10.1.47, >= 9.0.0.M1, < 9.0.110, >= 8.5.0, <= 8.5.100 11.0.12, 10.1.47, 9.0.110
  12. Apache Tomcat Catalina is vulnerable to DoS attack through bypassing of size limits
    Hoch · 7.5 CVE-2025-52520 >= 11.0.0-M1, < 11.0.9, >= 10.1.0-M1, < 10.1.43, >= 9.0.0.M1, < 9.0.107, >= 8.5.0, <= 8.5.100 11.0.9, 10.1.43, 9.0.107
  13. Apache Tomcat - DoS in multipart upload
    Hoch · 7.5 CVE-2025-48988 >= 11.0.0-M1, < 11.0.8, >= 10.1.0-M1, < 10.1.42, >= 9.0.0.M1, < 9.0.106, >= 8.5.0, <= 8.5.100 11.0.8, 10.1.42, 9.0.106
  14. Apache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUT
    Kritisch · 9.8 In Angriffen ausgenutzt CVE-2025-24813 >= 11.0.0-M1, < 11.0.3, >= 10.1.0-M1, < 10.1.35, >= 9.0.0.M1, < 9.0.99, >= 8.5.0, <= 8.5.100 11.0.3, 10.1.35, 9.0.99
  15. Apache Tomcat Time-of-check Time-of-use (TOCTOU) Race Condition vulnerability
    Hoch CVE-2024-56337 >= 11.0.0-M1, < 11.0.2, >= 10.1.0-M1, < 10.1.34 11.0.2, 10.1.34
  16. Apache Tomcat Time-of-check Time-of-use (TOCTOU) Race Condition vulnerability
    Hoch · 9.8 CVE-2024-50379 >= 11.0.0-M1, < 11.0.2, >= 10.1.0-M1, < 10.1.34, >= 9.0.0.M1, < 9.0.98, >= 8.5.0, <= 8.5.100 11.0.2, 10.1.34, 9.0.98
  17. Apache Tomcat - Authentication Bypass
    Kritisch · 9.8 CVE-2024-52316 < 9.0.96, >= 10.1.0-M1, < 10.1.30, >= 11.0.0-M1, < 11.0.1 9.0.96, 10.1.30, 11.0.1
  18. Apache Tomcat Improper Input Validation vulnerability
    Hoch · 7.5 CVE-2023-46589 >= 11.0.0-M1, < 11.0.0-M11, >= 10.1.0-M1, < 10.1.16, >= 9.0.0-M1, < 9.0.83, >= 8.5.0, < 8.5.96 11.0.0-M11, 10.1.16, 9.0.83, 8.5.96
  19. Apache Commons FileUpload denial of service vulnerability
    Hoch · 7.5 CVE-2023-24998 >= 10.1.0-M1, < 10.1.5, >= 11.0.0-M2, < 11.0.0-M5, >= 8.5.85, < 8.5.88, >= 9.0.0-M1, < 9.0.71 10.1.5, 11.0.0-M5, 8.5.88, 9.0.71
  20. Apache Tomcat improperly escapes input from JsonErrorReportValve
    Hoch · 7.5 CVE-2022-45143 >= 10.1.0, < 10.1.2 10.1.2
  21. Exposure of Sensitive Information to an Unauthorized Actor in Apache Tomcat
    Hoch · 7.5 CVE-2017-12616 >= 7.0.0, < 7.0.81 7.0.81
  22. Unrestricted Upload of File with Dangerous Type Apache Tomcat
    Hoch · 8.1 In Angriffen ausgenutzt CVE-2017-12617 >= 9.0.0.M1, < 9.0.1, >= 8.5.0, < 8.5.23, >= 8.0.0-RC1, < 8.0.47, >= 7.0.0, < 7.0.82 9.0.1, 8.5.23, 8.0.47, 7.0.82
  23. Exposure of Resource to Wrong Sphere in Apache Tomcat
    Kritisch · 9.1 CVE-2017-5648 >= 9.0.0.M1, < 9.0.0.M18, >= 8.5.0, < 8.5.13, >= 8.0.0, < 8.0.42, >= 7.0.0, < 7.0.76 9.0.0.M18, 8.5.13, 8.0.42, 7.0.76
  24. Improper Access Control in Apache Tomcat
    Hoch · 8.1 CVE-2016-5388 >= 7.0.0, < 7.0.72, >= 8.0.0, < 8.5.5 7.0.72, 8.5.5
  25. Apache Tomcat Improper Access Control vulnerability
    Kritisch · 9.8 In Angriffen ausgenutzt CVE-2016-8735 < 6.0.48, >= 7.0.0, < 7.0.73, >= 8.0.0, < 8.0.39, >= 8.5.0, < 8.5.7, >= 9.0.0.M1, < 9.0.0.M12 6.0.48, 7.0.73, 8.0.39, 8.5.7, 9.0.0.M12
  26. Potential remote code execution in Apache Tomcat
    Hoch · 7.0 CVE-2020-9484 >= 10.0.0-M1, < 10.0.0-M5, >= 9.0.0, < 9.0.35, >= 8.0.0, < 8.5.55, >= 7.0.0, < 7.0.104 10.0.0-M5, 9.0.35, 8.5.55, 7.0.104

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.