CVE-2026-29145
Apache Tomcat، Apache Tomcat Native: تفشل فحوصات OCSP أحيانًا بشكل ناعم حتى عندما يكون الفشل الناعم معطلاً
- تم النشر
- 09/04/2026
- محدث
- 10/04/2026
- تخصيص CNA
- apache
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 52.7%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
CLIENT_CERT مصادقة CLIENT_CERT لا تفشل كما هو متوقع في بعض السيناريوهات عند تعطيل الفشل الناعم، ثغرة في Apache Tomcat و Apache Tomcat Native. تؤثر هذه المشكلة على Apache Tomcat: من 11.0.0-M1 إلى 11.0.18، ومن 10.1.0-M7 إلى 10.1.52، ومن 9.0.83 إلى 9.0.115؛ و Apache Tomcat Native: من 1.1.23 إلى 1.1.34، ومن 1.2.0 إلى 1.2.39، ومن 1.3.0 إلى 1.3.6، ومن 2.0.0 إلى 2.0.13. يُنصح المستخدمون بالترقية إلى إصدار Tomcat Native 1.3.7 أو 2.0.14 وTomcat 11.0.20 و10.1.53 و9.0.116، والتي تعمل على إصلاح المشكلة.
المصادر
بيئة إثبات مفهوم قابلة للتكرار لثغرة CVE-2026-29145 في Apache Tomcat (تجاوز فشل ناعم لـ CLIENT_CERT + OCSP)، بما في ذلك نصوص الاستغلال، ومستجيب OCSP وهمي، وقواعد كشف Suricata.
بحث أمني أصلي وإثبات للمفهوم لثغرة CVE-2026-29145، وهي ثغرة تجاوز المصادقة عبر OCSP في Apache Tomcat، بما في ذلك التحليل الفني وخطوات إعادة الإنتاج.
يحتوي هذا المستودع على بيئة إثبات مفهوم (PoC) مصممة لاختبار CVE-2026-29145.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.