CVE-2026-29146
CVE-2026-29146 · Apache Tomcat: EncryptInterceptor vulnerable to padding oracle attack by default
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Padding Oracle vulnerability in Apache Tomcat's EncryptInterceptor with default configuration. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.18, from 10.0.0-M1 through 10.1.52, from 9.0.13 through 9..115, from 8.5.38 through 8.5.100, from 7.0.100 through 7.0.109. Users are recommended to upgrade to version 11.0.19, 10.1.53 and 9.0.116, which fixes the issue.
CVSS 7.5 · Élevée · EPSS 8,8% · Code d’exploitation public · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system
Produits et versions concernés
apache tomcat
- Versions du logiciel
- ≥ 11.0.0-M1, ≤ 11.0.18: Concernée (semver)
- ≥ 10.0.0-M1, ≤ 10.1.52: Concernée (semver)
- ≥ 9.0.13, ≤ 9.0.115: Concernée (semver)
- ≥ 8.5.38, ≤ 8.5.100: Concernée (semver)
- ≥ 7.0.100, ≤ 7.0.109: Concernée (semver)
Aucun correctif publié
tomcat10 Debian:12
- Versions du logiciel
- 10.1.10-1
- 10.1.13-1
- 10.1.14-1
- 10.1.15-1
- 10.1.16-1
- 10.1.20-1
- 10.1.23-1
- 10.1.25-1
- 10.1.25-1~bpo12+1
- 10.1.25-2
- 10.1.30-1
- 10.1.30-1~bpo12+1
- 10.1.31-1
- 10.1.33-1
- 10.1.33-1~bpo12+1
- 10.1.34-0+deb12u1
- 10.1.34-0+deb12u2
- 10.1.34-1
- 10.1.35-1
- 10.1.40-1
- 10.1.40-1~bpo12+1
- 10.1.46-1
- 10.1.52-1
- 10.1.52-1~deb12u1
- 10.1.52-1~deb13u1
- 10.1.52-2
- 10.1.54-1
- 10.1.6-1
- 10.1.6-1+deb12u1
- 10.1.6-1+deb12u2
- 10.1.7-1
- 10.1.8-1
- 10.1.9-1
- Plages de versions concernées
- ECOSYSTEM: < 10.1.55-1~deb12u1
Mettez à jour vers 10.1.55-1~deb12u1
tomcat10 Debian:13
- Versions du logiciel
- 10.1.40-1
- 10.1.46-1
- 10.1.52-1
- 10.1.52-1~deb12u1
- 10.1.52-1~deb13u1
- 10.1.52-2
- 10.1.54-1
- 10.1.55-1~deb12u1
- Plages de versions concernées
- ECOSYSTEM: < 10.1.55-1~deb13u1
Mettez à jour vers 10.1.55-1~deb13u1
tomcat10 Debian:14
- Versions du logiciel
- 10.1.40-1
- 10.1.46-1
- 10.1.52-1
- 10.1.52-1~deb12u1
- 10.1.52-1~deb13u1
- 10.1.52-2
- Plages de versions concernées
- ECOSYSTEM: < 10.1.54-1
Mettez à jour vers 10.1.54-1
tomcat11 Debian:13
- Versions du logiciel
- 11.0.11-1
- 11.0.15-1
- 11.0.15-1~deb13u1
- 11.0.18-1
- 11.0.21-1
- 11.0.6-1
- Plages de versions concernées
- ECOSYSTEM: < 11.0.22-1~deb13u1
Mettez à jour vers 11.0.22-1~deb13u1
tomcat11 Debian:14
- Versions du logiciel
- 11.0.11-1
- 11.0.15-1
- 11.0.15-1~deb13u1
- 11.0.18-1
- 11.0.6-1
- Plages de versions concernées
- ECOSYSTEM: < 11.0.21-1
Mettez à jour vers 11.0.21-1
tomcat9 Debian:12
- Plages de versions concernées
- ECOSYSTEM: < 9.0.70-2
Mettez à jour vers 9.0.70-2
tomcat9 Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 9.0.70-2
Mettez à jour vers 9.0.70-2
tomcat9 Debian:14
- Plages de versions concernées
- ECOSYSTEM: < 9.0.70-2
Mettez à jour vers 9.0.70-2
tomcat8 Ubuntu:Pro:18.04:LTS
- Versions du logiciel
- 8.5.21-1ubuntu1
- 8.5.29-1
- 8.5.30-1
- 8.5.30-1ubuntu1
- 8.5.30-1ubuntu1.2
- 8.5.30-1ubuntu1.3
- 8.5.30-1ubuntu1.4
- 8.5.39-1ubuntu1~18.04.1
- 8.5.39-1ubuntu1~18.04.2
- 8.5.39-1ubuntu1~18.04.3
- 8.5.39-1ubuntu1~18.04.3+esm1
- 8.5.39-1ubuntu1~18.04.3+esm2
- 8.5.39-1ubuntu1~18.04.3+esm3
- 8.5.39-1ubuntu1~18.04.3+esm4
- 8.5.39-1ubuntu1~18.04.3+esm5
- 8.5.39-1ubuntu1~18.04.3+esm6
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat9 Ubuntu:Pro:18.04:LTS
- Versions du logiciel
- 9.0.16-3~18.04.1
- 9.0.16-3ubuntu0.18.04.1
- 9.0.16-3ubuntu0.18.04.2
- 9.0.16-3ubuntu0.18.04.2+esm1
- 9.0.16-3ubuntu0.18.04.2+esm2
- 9.0.16-3ubuntu0.18.04.2+esm3
- 9.0.16-3ubuntu0.18.04.2+esm4
- 9.0.16-3ubuntu0.18.04.2+esm5
- 9.0.16-3ubuntu0.18.04.2+esm6
- 9.0.16-3ubuntu0.18.04.2+esm7
- 9.0.16-3ubuntu0.18.04.2+esm8
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat9 Ubuntu:Pro:20.04:LTS
- Versions du logiciel
- 9.0.24-1
- 9.0.27-1
- 9.0.31-1
- 9.0.31-1ubuntu0.1
- 9.0.31-1ubuntu0.2
- 9.0.31-1ubuntu0.3
- 9.0.31-1ubuntu0.4
- 9.0.31-1ubuntu0.5
- 9.0.31-1ubuntu0.6
- 9.0.31-1ubuntu0.7
- 9.0.31-1ubuntu0.8
- 9.0.31-1ubuntu0.9
- 9.0.31-1ubuntu0.9+esm1
- 9.0.31-1ubuntu0.9+esm2
- 9.0.31-1ubuntu0.9+esm3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat9 Ubuntu:Pro:22.04:LTS
- Versions du logiciel
- 9.0.43-3
- 9.0.54-1
- 9.0.55-1
- 9.0.58-1
- 9.0.58-1ubuntu0.1
- 9.0.58-1ubuntu0.1+esm1
- 9.0.58-1ubuntu0.1+esm2
- 9.0.58-1ubuntu0.1+esm3
- 9.0.58-1ubuntu0.1+esm4
- 9.0.58-1ubuntu0.2
- 9.0.58-1ubuntu0.2+esm1
- 9.0.58-1ubuntu0.2+esm2
- 9.0.58-1ubuntu0.2+esm3
- 9.0.58-1ubuntu0.2+esm4
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat10 Ubuntu:24.04:LTS
- Versions du logiciel
- 10.1.10-1
- 10.1.14-1
- 10.1.15-1
- 10.1.16-1
- 10.1.16-1ubuntu0.1~esm1
- 10.1.16-1ubuntu0.1~esm2
- 10.1.16-1ubuntu0.1~esm3
- 10.1.16-1ubuntu0.1~esm4
- 10.1.55-1ubuntu2~24.04.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat9 Ubuntu:24.04:LTS
- Versions du logiciel
- 9.0.70-1ubuntu1
- 9.0.70-2
- 9.0.70-2ubuntu0.1
- 9.0.70-2ubuntu0.1+esm1
- 9.0.70-2ubuntu0.1+esm2
- 9.0.70-2ubuntu0.1+esm3
- 9.0.118-1~24.04.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat10 Ubuntu:25.10
- Versions du logiciel
- 10.1.35-1
- 10.1.40-1
- 10.1.40-1ubuntu1
- 10.1.40-1ubuntu1.25.10.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat11 Ubuntu:25.10
- Versions du logiciel
- 11.0.6-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat9 Ubuntu:25.10
- Versions du logiciel
- 9.0.70-2ubuntu1.1
- 9.0.70-2ubuntu2
- 9.0.70-2ubuntu3
- 9.0.95-1ubuntu1
- 9.0.95-1ubuntu1.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat10 Ubuntu:26.04:LTS
- Versions du logiciel
- 10.1.40-1ubuntu1
- 10.1.40-1ubuntu1.26.04.1
- 10.1.55-1ubuntu2~26.04.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat9 Ubuntu:26.04:LTS
- Versions du logiciel
- 9.0.95-1ubuntu1
- 9.0.111-1
- 9.0.115-1
- 9.0.115-1ubuntu0.1
- 9.0.118-1~26.04.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tomcat11 Ubuntu:26.04:LTS
- Versions du logiciel
- 11.0.6-1
- 11.0.11-1
- 11.0.15-1
- 11.0.18-1
- 11.0.18-1ubuntu0.1~esm1
- 11.0.22-2ubuntu2~26.04.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
Sources originales
- https://lists.apache.org/thread/lzt04z2pb3dc5tk85obn80xygw3z1p0w
- http://www.openwall.com/lists/oss-security/2026/04/09/24
- https://access.redhat.com/security/cve/CVE-2026-29146
- https://bugzilla.redhat.com/show_bug.cgi?id=2457020
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-29146.json
- https://access.redhat.com/errata/RHSA-2026:20405
- https://access.redhat.com/errata/RHSA-2026:39188
- https://access.redhat.com/errata/RHSA-2026:38505
- https://access.redhat.com/errata/RHSA-2026:36787
- https://access.redhat.com/errata/RHSA-2026:36789
- https://access.redhat.com/errata/RHSA-2026:36788
- https://access.redhat.com/errata/RHSA-2026:36790
- https://access.redhat.com/errata/RHSA-2026:37137
- https://access.redhat.com/errata/RHSA-2026:37136
- https://access.redhat.com/errata/RHSA-2026:36878
- https://access.redhat.com/errata/RHSA-2026:36876
- https://access.redhat.com/errata/RHSA-2026:36877
- https://access.redhat.com/errata/RHSA-2026:36879
- https://access.redhat.com/errata/RHSA-2026:20406
- https://access.redhat.com/errata/RHSA-2026:39189
- https://nvd.nist.gov/vuln/detail/CVE-2026-29146