CVE-2026-34500
CVE-2026-34500 · Apache Tomcat: OCSP checks sometimes soft-fail with FFM even when soft-fail is disabled
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
CLIENT_CERT authentication does not fail as expected for some scenarios when soft fail is disabled and FFM is used in Apache Tomcat. This issue affects Apache Tomcat: from 11.0.0-M14 through 11.0.20, from 10.1.22 through 10.1.53, from 9.0.92 through 9.0.116. Users are recommended to upgrade to version 11.0.21, 10.1.54 or 9.0.117, which fixes the issue.
CVSS 6.5 · Mittel · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
apache tomcat
- Softwareversionen
- ≥ 11.0.0-M14, ≤ 11.0.20: Betroffen (semver)
- ≥ 10.1.22, ≤ 10.1.53: Betroffen (semver)
- ≥ 9.0.92, ≤ 9.0.116: Betroffen (semver)
Keine Korrektur veröffentlicht
tomcat10 Debian:12
- Softwareversionen
- 10.1.10-1
- 10.1.13-1
- 10.1.14-1
- 10.1.15-1
- 10.1.16-1
- 10.1.20-1
- 10.1.23-1
- 10.1.25-1
- 10.1.25-1~bpo12+1
- 10.1.25-2
- 10.1.30-1
- 10.1.30-1~bpo12+1
- 10.1.31-1
- 10.1.33-1
- 10.1.33-1~bpo12+1
- 10.1.34-0+deb12u1
- 10.1.34-0+deb12u2
- 10.1.34-1
- 10.1.35-1
- 10.1.40-1
- 10.1.40-1~bpo12+1
- 10.1.46-1
- 10.1.52-1
- 10.1.52-1~deb12u1
- 10.1.52-1~deb13u1
- 10.1.52-2
- 10.1.54-1
- 10.1.6-1
- 10.1.6-1+deb12u1
- 10.1.6-1+deb12u2
- 10.1.7-1
- 10.1.8-1
- 10.1.9-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 10.1.55-1~deb12u1
Auf 10.1.55-1~deb12u1 aktualisieren
tomcat10 Debian:13
- Softwareversionen
- 10.1.40-1
- 10.1.46-1
- 10.1.52-1
- 10.1.52-1~deb12u1
- 10.1.52-1~deb13u1
- 10.1.52-2
- 10.1.54-1
- 10.1.55-1~deb12u1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 10.1.55-1~deb13u1
Auf 10.1.55-1~deb13u1 aktualisieren
tomcat10 Debian:14
- Softwareversionen
- 10.1.40-1
- 10.1.46-1
- 10.1.52-1
- 10.1.52-1~deb12u1
- 10.1.52-1~deb13u1
- 10.1.52-2
- Betroffene Versionsbereiche
- ECOSYSTEM: < 10.1.54-1
Auf 10.1.54-1 aktualisieren
tomcat11 Debian:13
- Softwareversionen
- 11.0.11-1
- 11.0.15-1
- 11.0.15-1~deb13u1
- 11.0.18-1
- 11.0.21-1
- 11.0.6-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 11.0.22-1~deb13u1
Auf 11.0.22-1~deb13u1 aktualisieren
tomcat11 Debian:14
- Softwareversionen
- 11.0.11-1
- 11.0.15-1
- 11.0.15-1~deb13u1
- 11.0.18-1
- 11.0.6-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 11.0.21-1
Auf 11.0.21-1 aktualisieren
tomcat9 Debian:12
- Betroffene Versionsbereiche
- ECOSYSTEM: < 9.0.70-2
Auf 9.0.70-2 aktualisieren
tomcat9 Debian:13
- Betroffene Versionsbereiche
- ECOSYSTEM: < 9.0.70-2
Auf 9.0.70-2 aktualisieren
tomcat9 Debian:14
- Betroffene Versionsbereiche
- ECOSYSTEM: < 9.0.70-2
Auf 9.0.70-2 aktualisieren
tomcat10 Ubuntu:25.10
- Softwareversionen
- 10.1.35-1
- 10.1.40-1
- 10.1.40-1ubuntu1
- 10.1.40-1ubuntu1.25.10.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
tomcat11 Ubuntu:25.10
- Softwareversionen
- 11.0.6-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
tomcat9 Ubuntu:25.10
- Softwareversionen
- 9.0.70-2ubuntu1.1
- 9.0.70-2ubuntu2
- 9.0.70-2ubuntu3
- 9.0.95-1ubuntu1
- 9.0.95-1ubuntu1.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
tomcat10 Ubuntu:26.04:LTS
- Softwareversionen
- 10.1.40-1ubuntu1
- 10.1.40-1ubuntu1.26.04.1
- 10.1.55-1ubuntu2~26.04.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
tomcat9 Ubuntu:26.04:LTS
- Softwareversionen
- 9.0.95-1ubuntu1
- 9.0.111-1
- 9.0.115-1
- 9.0.115-1ubuntu0.1
- 9.0.118-1~26.04.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
tomcat11 Ubuntu:26.04:LTS
- Softwareversionen
- 11.0.6-1
- 11.0.11-1
- 11.0.15-1
- 11.0.18-1
- 11.0.18-1ubuntu0.1~esm1
- 11.0.22-2ubuntu2~26.04.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht