🔴 Questo strumento non confronta i numeri di versione per stabilire se la patch c'è — perché il discorso sui numeri di versione è proprio il punto in cui questa CVE genera errori. La tabella di giudizio è generata da tools/gen_table.py a partire da fonti primarie; se una delle sette asserzioni fallisce, la tabella non viene emessa.

Risultati misurati sulle sette linee

I quattro casi in cui «la frase ufficiale non vale per te»

① Sei sulla linea 8.5 / 7.0 / 8.0 — nessuna delle tre versioni indicate da Apache appartiene alla tua linea, e la tua linea ha smesso di ricevere release (8.5.101 / 7.0.110 / 8.0.54 sono tutti 404 su Maven Central). 8.0 è un caso particolare: Apache la classifica come unknown, senza nemmeno rispondere se sei vulnerabile o no.

② Sei sulla linea 10.1 — Apache ti dice di aggiornare a 10.1.52, ma 10.1.52 stesso non ha la patch. Il paragrafo precedente dello stesso annuncio elenca 10.1.0-M1 through 10.1.52 come affette. La security-10.html di Apache classifica questa CVE nella sezione 10.1.53; e compare 10.1.52...10.1.53 contiene effettivamente il commit di fix f07df938. → Seguire quella frase equivale a non aggiornare.

③ Sei sulla linea 10.0 — nell'annuncio ufficiale 10.0. compare 0 volte. Non è né nell'elenco delle versioni affette, né nelle due voci unknown; anche i due intervalli dell'advisory GitHub (>= 7.0.0, < 9.0.116 e >= 10.1.0-M1, < 10.1.52) non la coprono. E i membri di ChunkedInputFilter di 10.0.27 sono identici parola per parola a quelli di 7.0.109 / 8.5.100, mentre 10.0.28 è 404. → Nessuna fonte ha mai risposto se 10.0 è vulnerabile.

④ Usi Dependabot / OSV — l'advisory GitHub comprime 7.0/8.5/9.0 in un unico intervallo, con first_patched_version = 9.0.116, quindi la macchina dirà agli utenti 8.5 di aggiornare a 9.0.116. Quella è un'altra linea di versione maggiore, non un aggiornamento di patch.

Limiti del discorso (questo strumento non li supera, e nemmeno tu dovresti)

• «Codice di fix mancante» è un fatto sull'artefatto; «sei vulnerabile» è un'altra cosa, che richiede conferma a monte — e sulla linea 10.0 nessuno ha mai confermato nulla. La terminologia di questo strumento usa sempre la prima formulazione.
• Lo smuggling di richieste richiede un proxy front-end e interpretazioni divergenti tra le due estremità per essere sfruttabile. Su un Tomcat esposto direttamente non si può raccontare uno scenario di attacco.
• L'annuncio originale di Apache assegna a questa CVE una gravità low(l'advisory GitHub la marca high / CVSS 7.5). Entrambi i valori sono elencati qui, senza scegliere quello più favorevole.

Fonti primarie

• Annuncio originale di Apache (oss-security, Mark Thomas, 2026-04-09): http://www.openwall.com/lists/oss-security/2026/04/09/20
• Advisory GitHub:https://github.com/advisories/GHSA-563x-q5rq-57qp
• Commit di fix:1b586d6(9.0)· f07df938(10.1)· fde1a82(11.0)
• Linee di versione ed EOL:https://endoflife.date/tomcat

Rigenera la tabella di giudizio

Le asserzioni coprono: positivi (9.0.116 / 10.1.53 / 11.0.20 devono avere la classe di fix), negativi (9.0.115 / 10.1.52 non devono averla), l'affermazione centrale (la raccomandazione ufficiale cita proprio 10.1.52), le linee EOL, l'assenza di esito (la versione successiva alla finale deve essere 404), il sentinella (una versione inesistente deve dare 404, a prova che il criterio 404 funziona), e l'assenza di 10.0.

Build

Licenza

Apache-2.0