🔴 Dieses Tool vergleicht keine Versionsnummern, um zu prüfen, ob der Fix enthalten ist — denn genau die Versionsnummer-Angabe ist der Punkt, an dem diese CVE irreführt. Die Entscheidungstabelle wird von tools/gen_table.py aus Primärquellen generiert; wenn die sieben Assertions nicht bestehen, wird die Tabelle verweigert.

Messergebnisse der sieben Linien

Die vier Fälle, in denen „der offizielle Satz nicht für dich gilt"

① Du bist auf der 8.5 / 7.0 / 8.0-Linie — Keine der drei offiziell genannten Versionen liegt auf deiner Linie, und deine Linie wird nicht mehr veröffentlicht (8.5.101 / 7.0.110 / 8.0.54 sind auf Maven Central alle 404). 8.0 ist besonders: Offiziell wird sie als unknown markiert — es wird nicht einmal beantwortet, ob du betroffen bist.

② Du bist auf der 10.1-Linie — Offiziell sollst du auf 10.1.52 upgraden, aber 10.1.52 selbst hat den Fix nicht. Im vorherigen Absatz derselben Ankündigung wird 10.1.0-M1 through 10.1.52 als betroffen aufgeführt. Apaches eigene security-10.html ordnet diese CVE dem Abschnitt 10.1.53 zu; compare 10.1.52...10.1.53 enthält tatsächlich den Fix-Commit f07df938. → Dem Satz zu folgen bedeutet, kein Upgrade durchzuführen.

③ Du bist auf der 10.0-Linie — In der offiziellen Ankündigung kommt 10.0. 0-mal vor. Weder in der betroffenen Liste noch in den beiden unknown-Einträgen; auch die beiden Bereiche der GitHub-Advisory (>= 7.0.0, < 9.0.116 und >= 10.1.0-M1, < 10.1.52) decken sie nicht ab. Doch die ChunkedInputFilter-Mitglieder von 10.0.27 sind wortgleich mit denen von 7.0.109 / 8.5.100, und 10.0.28 ist 404. → Keine Quelle hat jemals beantwortet, ob 10.0 betroffen ist.

④ Du nutzt Dependabot / OSV — Die GitHub-Advisory fasst 7.0/8.5/9.0 zu einem Bereich zusammen, first_patched_version = 9.0.116, wodurch die Maschine 8.5-Nutzern ein Upgrade auf 9.0.116 empfiehlt. Das ist eine andere Hauptversionslinie, kein Patch.

Grenzen der Aussage (Dieses Tool überschreitet sie nicht, und du solltest es auch nicht)

• „Fehlender Fix-Code" ist eine Artefakt-Tatsache; „du bist betroffen" ist etwas anderes und erfordert eine Bestätigung durch den Upstream — und genau für die 10.0-Linie hat niemand eine solche Bestätigung gegeben. Die Formulierungen dieses Tools beziehen sich durchgängig auf Ersteres.
• Request Smuggling erfordert einen Frontend-Proxy, und beide Enden müssen die Interpretation unterschiedlich handhaben, damit von Schaden die Rede sein kann. Bei einem nackt laufenden Tomcat lässt sich keine Angriffsgeschichte erzählen.
• Die ursprüngliche Apache-Ankündigung bewertet dies als low (die GitHub-Advisory markiert high / CVSS 7.5). Beide Zahlen sind hier aufgeführt; es wird nicht die für einen selbst günstigere ausgewählt.

Primärquellen

• Ursprüngliche Apache-Ankündigung (oss-security, Mark Thomas, 2026-04-09): http://www.openwall.com/lists/oss-security/2026/04/09/20
• GitHub-Advisory:https://github.com/advisories/GHSA-563x-q5rq-57qp
• Fix-Commits:1b586d6(9.0)· f07df938(10.1)· fde1a82(11.0)
• Versionslinien und EOL:https://endoflife.date/tomcat

Entscheidungstabelle neu generieren

Die Assertions umfassen: Positivfälle (9.0.116 / 10.1.53 / 11.0.20 müssen die Fix-Klasse enthalten), Negativfälle (9.0.115 / 10.1.52 dürfen sie nicht enthalten), Kernaussage (die offizielle Empfehlung nennt tatsächlich 10.1.52), EOL-Linien, kein Ausgang (die nächste Version nach der letzten muss 404 sein), Sentinel (eine nicht existierende Version muss 404 sein, um zu beweisen, dass das 404-Kriterium selbst nicht defekt ist), Abwesenheit von 10.0.

Build

Lizenz

Apache-2.0