La Fundación Apache Software ha lanzado actualizaciones de seguridad de emergencia para abordar múltiples vulnerabilidades en Apache Tomcat.

Los últimos avisos destacan un error crítico en la aplicación de parches que expuso inadvertidamente los servidores a un bypass de interceptación, así como problemas que afectan a la autenticación de certificados y a los ataques de padding-oracle.

Los administradores deben actualizar sus implementaciones de inmediato para proteger sus entornos contra posibles explotaciones.

Bypass de EncryptInterceptor y ataques de padding-oracle

El problema más urgente surge de un parche de seguridad defectuoso. Inicialmente, los investigadores de seguridad descubrieron CVE-2026-29146, una vulnerabilidad de severidad "Importante" donde el EncryptInterceptor utilizaba Cipher Block Chaining (CBC) por defecto.

Esta configuración dejaba el servidor vulnerable a un ataque de padding-oracle, lo que podría permitir a actores maliciosos descifrar el tráfico interceptado.

Los investigadores de Oligo Security, Uri Katz y Avi Lumelsky, identificaron y reportaron esta debilidad criptográfica inicial. Para resolver la amenaza del padding-oracle, Apache lanzó una primera ronda de actualizaciones.

Sin embargo, la solución introdujo una nueva vulnerabilidad, igualmente grave, registrada como CVE-2026-34486.

Identificada por Bartlomiej Dmitruk de striga.ai, esta falla posterior permitía a los atacantes bypassear completamente el EncryptInterceptor.

Debido a que el parche inicial era defectuoso, las organizaciones que ejecutan versiones intermedias de la actualización están actualmente expuestas a este mecanismo de bypass.

Junto a los problemas del EncryptInterceptor, Apache abordó una vulnerabilidad de severidad "Moderada" registrada como CVE-2026-34500. Esta falla afecta las comprobaciones del Protocolo de Estado de Certificados en Línea (OCSP) dentro de Tomcat.

Bajo condiciones específicas, cuando se utiliza la API de Funciones Extranjeras y Memoria (FFM), el sistema experimenta un fallo suave durante la validación OCSP, incluso si el administrador había deshabilitado explícitamente los fallos suaves.

En consecuencia, la autenticación CLIENT_CERT no falla como se esperaba, creando comportamientos de autenticación inesperados que podrían comprometer los controles de acceso.

Haruki Oyama de la Universidad de Waseda descubrió y reportó este error de validación de certificados (CVE-2026-34500). Las vulnerabilidades afectan a múltiples ramas de Apache Tomcat. El parche defectuoso que permite el bypass del EncryptInterceptor (CVE-2026-34486) afecta específicamente a estas versiones exactas:

• Apache Tomcat 11.0.20
• Apache Tomcat 10.1.53
• Apache Tomcat 9.0.116

Las vulnerabilidades más amplias, incluyendo el ataque inicial de padding-oracle y los fallos de validación de certificados, afectan a un rango más amplio de versiones anteriores:

• Apache Tomcat 11.0.0-M1 hasta 11.0.20
• Apache Tomcat 10.1.0-M1 hasta 10.1.53
• Apache Tomcat 9.0.13 hasta 9.0.116

Para resolver las tres vulnerabilidades, incluyendo el parche defectuoso del EncryptInterceptor y el fallo de validación de certificados OCSP, los administradores deben actualizar sus sistemas a las últimas versiones seguras.

La Fundación Apache Software recomienda encarecidamente aplicar las siguientes actualizaciones:

• Actualiza las implementaciones de Apache Tomcat 11.x a la versión 11.0.21 o posterior
• Actualiza las implementaciones de Apache Tomcat 10.x a la versión 10.1.54 o posterior
• Actualiza las implementaciones de Apache Tomcat 9.x a la versión 9.0.117 o posterior

Las organizaciones que ejecutan versiones antiguas de Tomcat, al final de su vida útil (EOL), deben migrar a una rama compatible de inmediato, ya que estos sistemas heredados no recibirán parches para el ataque de padding-oracle ni para las fallas de bypass posteriores.