🔴 Cet outil ne compare pas les numéros de version pour déterminer si le correctif est appliqué — car la logique des numéros de version est précisément ce qui pose problème sur cette CVE. Le tableau de décision est généré par tools/gen_table.py à partir de sources primaires ; sept groupes d'assertions doivent passer, sinon le tableau est refusé.

Résultats mesurés sur les sept lignes

Quatre cas où « la phrase officielle ne s'applique pas à vous »

① Vous êtes sur la ligne 8.5 / 7.0 / 8.0 — aucune des trois versions fournies par l'officiel n'est sur votre ligne, et votre ligne n'est plus publiée (8.5.101 / 7.0.110 / 8.0.54 renvoient tous un 404 sur Maven Central). 8.0 est un cas particulier : l'officiel la marque unknown, sans même répondre à la question « êtes-vous concerné ? ».

② Vous êtes sur la ligne 10.1 — l'officiel vous demande de passer à 10.1.52, or 10.1.52 lui-même manque du correctif. Le paragraphe précédent du même bulletin liste 10.1.0-M1 through 10.1.52 comme affectés. La security-10.html d'Apache classe cette CVE dans la section 10.1.53 ; le compare 10.1.52...10.1.53 contient effectivement le commit de correctif f07df938. → Suivre cette phrase revient à ne rien corriger.

③ Vous êtes sur la ligne 10.0 — 10.0. apparaît 0 fois dans le bulletin officiel. Ni dans la liste des versions affectées, ni dans les deux unknown ; les deux plages de l'advisory GitHub (>= 7.0.0, < 9.0.116 et >= 10.1.0-M1, < 10.1.52) ne la couvrent pas non plus. Or les membres de ChunkedInputFilter de 10.0.27 sont identiques mot pour mot à ceux de 7.0.109 / 8.5.100, et 10.0.28 renvoie un 404. → Aucune source n'a jamais répondu si 10.0 est concerné.

④ Vous utilisez Dependabot / OSV — l'advisory GitHub regroupe 7.0/8.5/9.0 en une seule plage, first_patched_version = 9.0.116, donc la machine demande aux utilisateurs de 8.5 de passer à 9.0.116. C'est une autre ligne de version majeure, pas un correctif.

Limites du discours (cet outil ne les franchit pas, et vous non plus)

• « Code de correctif manquant » est un fait sur l'artefact ; « vous êtes affecté » est autre chose, qui nécessite une confirmation en amont — et c'est précisément la ligne 10.0 que personne n'a jamais confirmée. La formulation de cet outil est toujours la première.
• Le request smuggling n'a de sens qu'avec un proxy frontal et une interprétation divergente aux deux extrémités. Sur un Tomcat exposé directement, il n'y a pas de scénario d'attaque à raconter.
• Le bulletin original d'Apache attribue à cette CVE une sévérité low(l'advisory GitHub la marque high / CVSS 7.5). Les deux chiffres sont listés ici, sans choisir celui qui nous arrange.

Sources primaires

• Bulletin original d'Apache (oss-security, Mark Thomas, 2026-04-09) : http://www.openwall.com/lists/oss-security/2026/04/09/20
• Advisory GitHub : https://github.com/advisories/GHSA-563x-q5rq-57qp
• Commits de correctif : 1b586d6(9.0)· f07df938(10.1)· fde1a82(11.0)
• Lignes de version et EOL : https://endoflife.date/tomcat

Régénérer le tableau de décision

Les assertions couvrent : les positifs (9.0.116 / 10.1.53 / 11.0.20 doivent contenir la classe de correctif), les négatifs (9.0.115 / 10.1.52 ne doivent pas la contenir), l'affirmation centrale (la recommandation officielle mentionne bien 10.1.52), les lignes EOL, l'absence d'issue (la version suivante de la version finale doit renvoyer un 404), les sentinelles (une version inexistante doit renvoyer un 404, prouvant que le critère du 404 fonctionne), et l'absence de 10.0.

Construction

License

Apache-2.0