- CWE-362
CVE-2026-101356
Apache Tomcat HTTP/2 asenkron servletlerinde istek/yanıt karışması
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, web sitesi veya uygulama sunucusu üzerinde kullanıcı verilerinin başka kişilere sızmasına yol açabilir. Kimlik doğrulama gerektirmeden uzaktan istismar edilebildiği için aciliyeti yüksektir. Etkilenen sunucular bir an önce güncellenmelidir.
ÖzetTürkçe
Apache Tomcat'in HTTP/2 işleme katmanında, asenkron servletlerde hata oluştuğunda nesnelerin yanlış geri dönüştürülmesi ve yeniden kullanılması hatası bulunmaktadır. Bu durum kullanıcılar arasında istek ve/veya yanıtların karışmasına yol açabilir. Etkilenen sürümler 11.0.22–11.0.26, 10.1.55–10.1.60 ve 9.0.118–9.0.122 aralığındaki Tomcat kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, başka bir kullanıcıya ait istek veya yanıtlara erişebilir ve bu yanıtların yanlış kişiye iletilmesine neden olabilir. Ayrıca CVSS skoruna göre gizlilik ve erişilebilirlik üzerinde yüksek etki oluşturabilir.
Kaynaktaki açıklama (İngilizce)
Incorrect object recycling and re-use vulnerability in Apache Tomcat affecting HTTP/2 processing of asynchronous servlets can trigger request and/or response mix-up between users.
This issue affects Apache Tomcat: from 11.0.22 through 11.0.26, from 10.1.55 through 10.1.60, from 9.0.118 through 9.0.122.
Users are recommended to upgrade to version 11.0.27, 10.1.61 or 9.0.123, which fixes the issue.
Ne yapmalı?
- Apache Tomcat'i sürüm 11.0.27, 10.1.61 veya 9.0.123 ile güncelleyin; kullandığınız ana sürüme uygun olan sürümü seçin. Genel öneri
- Güncelleme sonrasında Tomcat sürümünü doğrulayın ve uygulamanın düzgün çalıştığını test edin. Genel öneri
- Güncelleme yapılana kadar HTTP/2 desteğinin gerekli olup olmadığını değerlendirin ve mümkünse geçici olarak devre dışı bırakmayı düşünün. Genel öneri
Ek önlemler
- Tomcat sunucularınızın dış ağa açık olup olmadığını gözden geçirin ve gereksiz erişimi kısıtlayın. Genel öneri
- Sunucu günlüklerinde beklenmeyen yanıt hataları, olağandışı bağlantı kesilmeleri veya asenkron işlemlerle ilgili anormallikleri izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Tomcat | ≥ 11.0.22, ≤ 11.0.26 | – |
| ≥ 10.1.55, ≤ 10.1.60 | – | |
| ≥ 9.0.118, ≤ 9.0.122 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.