CVE-2026-29145 — 即使禁用软失败，OCSP 检查有时仍会软失败

发现者： gregk4sec (https://github.com/gregk4sec/cve)
发现日期： 2026-02-26
受影响厂商： Apache
受影响产品： Tomcat
严重性： 9.1 严重
CWE： CWE-287 身份验证不当 状态： 审核中 / 已修复 / 私有 / 公开 ✅

摘要

当禁用软失败时，CLIENT_CERT 身份验证在某些场景下未按预期使 OCSP 检查失败。

技术分析

参见：analysis.md

复现步骤

1. 环境搭建
2. 触发条件
3. 预期行为与实际行为
4. 截图（可选）

概念验证（PoC）

PoC 文件位于：

./poc/

注意：根据披露要求，部分 PoC 内容可能会被编辑或稍后发布。

披露时间线

参见：timeline.md

厂商响应

参见：./vendor-response/

参考

• CVE 条目：https://nvd.nist.gov/vuln/detail/CVE-2026-29145
• 厂商公告：https://lists.apache.org/thread/yz5fxmhd2j43wgqykssdo7kltws57jfz
• 安全公告：https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.20
• 相关研究：<链接>

归属

此漏洞为 gregk4sec (https://github.com/gregk4sec/cve) 的原创发现。
仓库：https://github.com/gregk4sec/cve