Apache Tomcatの認証回避の脆弱性CVE-2026-55957
The Apache Software Foundation（ASF）が2026年6月29日に公表したCVE-2026-55957では、Apache TomcatのJNDIRealmがGSSAPIでバインドを認証する設定のとき、攻撃者は正しいパスワードを示さずに認証できた［1］。CISAはCVEレコードに加えたSSVCの判定で、悪用の状況（Exploitation）をnoneとした［11］。
脆弱性の内容
Tomcatの設定の文書では、JNDIRealmのauthentication属性には"none"・"simple"・"strong"か、プロバイダ固有の機構を指定する［17］。"GSSAPI"を指定しても、HttpServletRequest.login(String username, String password)の処理など一部の場面ではGSSAPIを使わず、userPasswordの方法で利用者を認証する［17］。
ASFは11.0.xのブランチへの修正のコミットで、GSSAPIを使う設定のJNDIRealmでも、HttpServletRequest.loginに渡された資格情報を検証できるようにした［6］。変更後のコードは、資格情報でバインドするあいだGSSAPIのSASL認証を使わないよう環境からSECURITY_AUTHENTICATIONを外し、後で元に戻す［6］。
ASFの6月29日の告知メール〔注1〕では、この問題の発見者として個人1名がクレジットされた［4］。CVEレコードは発見の区分をEXTERNALとした［11］。
| 項目 | 値 | 資料 |
|---|---|---|
| 深刻度（ASF） | Important | ［1］ |
| CVSS 3.1の基本値（CISAのADP） | 7.3（HIGH）、AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L〔注3〕 | ［11］ |
| CWE（CVEレコード） | CWE-304（Missing Critical Step in Authentication） | ［11］ |
| 深刻度（Red Hat） | Important | ［10］ |
| 深刻度（SUSE） | important、CVSS v4の基本値6.9 | ［9］ |
| 優先度（Ubuntu） | Medium | ［8］ |
| 深刻度（Amazon Linux） | Important、CVSS v3の基本値7.3 | ［19］ |
Red Hatは深刻度の理由を、Tomcatへの認証でパスワードの検証を完全に回避でき、権限も利用者の操作も要らずに保護された資源へ不正にアクセスできるおそれがあるためと説明した［10］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2025年 | ASF | 11.0.xのブランチに、GSSAPIを使うJNDIRealmでの資格情報の検証を直すコミットを入れた | ［6］ |
| 2026年 | - | Tomcatのセキュリティチームに問題が報告された | ［1］ |
| 2026年 | - | CVE-2026-55957の番号が予約された | ［11］ |
| 2026年 | ASF | 脆弱性の一覧、announceのメーリングリスト、oss-securityで公表し、CVEレコードを公開した | ［1、4、5、11］ |
| 2026年 | CISA | ADPとしてCVEレコードにCVSS 3.1の評価とSSVCの判定を加えた | ［11］ |
| 2026年 | JPCERT/CC・IPA | JVNVU#93304382を公開した | ［13］ |
| 2026年 | JPCERT/CC | Weekly Reportで「Apache Tomcatに複数の脆弱性」を取り上げた | ［14］ |
| 2026年 | ASF | GSSAPI以外のSASLの機構で設定したJNDIRealmで、正しいパスワード無しに認証できる別の脆弱性CVE-2026-101296を公表した | ［18］ |
| 2026年 | NIST | NVDのレコードを最終更新した（状態はAnalyzed） | ［12］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Apache Tomcat 11.0 | 11.0.0-M1〜11.0.4 | 11.0.5以降 | ［1、4］ |
| Apache Tomcat 10.1 | 10.1.0-M1〜10.1.36 | 10.1.37以降〔注2〕 | ［2、4］ |
| Apache Tomcat 9.0 | 9.0.0-M1〜9.0.100 | 9.0.101以降 | ［3、4］ |
| Apache Tomcat 8.5 | 8.5.0〜8.5.100 | - | ［5］ |
| Apache Tomcat 7.0 | 7.0.0〜7.0.109 | - | ［5］ |
| 7.0.0より前のApache Tomcat | unknown | - | ［5］ |
ASFの告知メールは、サポートの終わった古い版も影響を受けることがあるとした［4］。HeroDevsは解説で、Tomcat 8.5は2024年3月31日にサポートを終えたと書いた［20］。6月に公表されたTomcatの脆弱性のうち、CVE-2026-55957を含む6件が8.5に当てはまり、それらを直す8.5のリリースは無い［20］。
| 配布元 | 状態 | 修正版・アドバイザリ | 資料 |
|---|---|---|---|
| Debian（tomcat10・tomcat11） | 全リリースがfixed | tomcat10は10.1.52-1~deb12u1・10.1.52-1~deb13u1、tomcat11は11.0.15-1~deb13u1 | ［7］ |
| Debian（tomcat9） | fixed | 9.0.70-2以後はサーバーを含まないため、その版を修正版とした | ［7］ |
| Ubuntu（tomcat9・tomcat10・tomcat11） | 26.10、26.04 LTS、24.04 LTSなどがNeeds evaluation。25.10はIgnored（end of life） | - | ［8］ |
| SUSE（SLES 15 SP7・16.0、openSUSE Leap 16.0ほか） | Already fixed。全体の状態はResolved | SUSE Liberty Linux 8・9.6 EMSはtomcat 1:9.0.120-1（RHSA-2026:68677・RHSA-2026:68659） | ［9］ |
| Red Hat（RHEL 8・9・10のtomcat・tomcat9） | 修正版あり | 2026年9月17日のRHSA-2026:68659ほか4件、9月14日のRHSA-2026:67163・67164 | ［10］ |
| Red Hat（RHEL 8・9・10のtomcat・tomcat9） | 修正版あり | 2026年5月19日のRHSA-2026:18536・18537・18916、6月24日のRHSA-2026:29203、6月29日のRHSA-2026:32960 | ［10］ |
| Red Hat（RHEL 7のtomcat） | Affected | - | ［10］ |
| Red Hat（JBoss Web Server 5のjws5-tomcat） | Will not fix | - | ［10］ |
| Amazon Linux 2（Coreのtomcat） | Fixed | 2026年8月17日のALAS2-2026-3864 | ［19］ |
| Amazon Linux 2（Tomcat9 Extra）、Amazon Linux 2023（tomcat9・tomcat10） | Fixed | 2025年4月1日のALAS2TOMCAT9-2025-016・ALAS2023-2025-910・ALAS2023-2025-911 | ［19］ |
| Amazon Linux 2（Tomcat8.5 Extra） | No Fix Planned | - | ［19］ |
悪用の状況
CISAの2026年6月30日の評価では、SSVCのAutomatableはyes、Technical Impactはtotalだった［11］。NVDのレコードには、CISAのKEVへの追加日の欄（cisaExploitAdd）が無い［12］。
CyCognitoは7月1日の解説で、自社のプラットフォームで観測した資産での露出を業種別の割合で示した［21］。
修正と回避策
Red Hatは、実用的な緩和策の例を見つけられなかったとして、影響を受けるパッケージをできるだけ早く更新するよう求めた［10］。
JVNのJVNVU#93304382によると、ASFはCVE-2026-55957を含むTomcatの脆弱性7件にアドバイザリを公開した［13］。JVNは対策として、11.0.23・11.0.5・10.1.56・10.1.39・9.0.119・9.0.102の各版を挙げた［13］。
HeroDevsは、9.0.101の修正はそれ以後の9.0.xのすべてに含まれ、9.0.119に更新すれば7件をすべて塞げると書いた［20］。
未公表の事項
- 2025年2月の修正と2026年6月の報告・公表との関係（修正のときに脆弱性と認識していたか）
- 攻撃の具体的な手順
- JNDIRealmをGSSAPIでバインドを認証する設定で使う環境の数
- 公開の実証コード（PoC）の有無についてのASFの説明
注
出典
当事者
- ［1］The Apache Software Foundation『Apache Tomcat 11.x vulnerabilities』（2026年6月29日公開）
- ［2］The Apache Software Foundation『Apache Tomcat 10.x vulnerabilities』（2026年6月29日公開）
- ［3］The Apache Software Foundation『Apache Tomcat 9.x vulnerabilities』（2026年6月29日公開）
- ［4］The Apache Software Foundation『[SECURITY] CVE-2026-55957 Apache Tomcat - Authentication bypass with JNDIRealm and GSSAPI authenticated bind』（2026年6月29日公開）
- ［5］The Apache Software Foundation『CVE-2026-55957: Apache Tomcat: Authentication bypass with JNDIRealm and GSSAPI authenticated bind』（2026年6月29日公開）
- ［6］The Apache Software Foundation『(tomcat) branch 11.0.x updated: Fix credential validation when JNDIRealm is configured to use GSSAPI』（2025年2月19日公開）
関係組織
- ［7］Debian Project『CVE-2026-55957』（公開日不明、2026年11月4日閲覧）
- ［8］Canonical Ltd.『CVE-2026-55957』（2026年6月29日公開、2026年7月1日更新）
- ［9］SUSE LLC『CVE-2026-55957 Common Vulnerabilities and Exposures』（公開日不明、2026年11月4日閲覧）
- ［10］Red Hat, Inc.『CVE-2026-55957』（2026年6月29日公開、2026年11月4日閲覧）
- ［19］Amazon Web Services, Inc.『CVE-2026-55957』（2026年6月29日公開、2026年9月10日更新）
公的機関
- ［11］CVE Program『CVE-2026-55957』（2026年6月29日公開、2026年6月30日更新）
- ［12］National Institute of Standards and Technology『CVE-2026-55957』（2026年6月29日公開、2026年10月25日更新）
- ［13］一般社団法人JPCERTコーディネーションセンター・独立行政法人情報処理推進機構『JVNVU#93304382 Apache Tomcatにおける複数の脆弱性（2026年6月29日）』（2026年7月1日公開）
- ［14］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC WEEKLY REPORT 2026-07-08』（2026年7月8日公開）
調査・観測
- ［20］HeroDevs, Inc.『Apache Tomcat CVE Round-Up: 7 Vulnerabilities Disclosed June 2026, Including CVE-2026-55957』（2026年7月1日公開、2026年10月13日更新）
- ［21］CyCognito Ltd.『Emerging Threat: (CVE-2026-55957) Apache Tomcat Authentication Bypass via JNDIRealm GSSAPI Binds』（2026年7月1日公開、2026年7月28日更新）
背景資料
- ［17］The Apache Software Foundation『Apache Tomcat 11 Configuration Reference: The Realm Component』（公開日不明、2026年11月4日閲覧）
- ［18］The Apache Software Foundation『[SECURITY] CVE-2026-101296 Apache Tomcat - JNDIRealm bind credential validation fails open for non-GSSAPI SASL mechanisms』（2026年10月20日公開）
更新記録
- 2026年7月2日：公開した。
- 2026年7月8日：JPCERT/CCの7月8日のWeekly Report（出典14）を加え、「時系列」を改めた。
- 2026年7月28日：CyCognitoの解説の7月28日の更新（出典21）を加え、「悪用の状況」と「注」を改めた。
- 2026年9月10日：Amazon Linux Security CenterのCVEのページの9月10日の更新（出典19）を加え、「脆弱性の内容」と「対象の製品と版」を改めた。
- 2026年9月17日：Red HatのCVEの情報（出典10）に載った9月17日の修正の配布を、「対象の製品と版」に加えた。
- 2026年10月13日：HeroDevsの解説の10月13日の更新（出典20）を加え、「対象の製品と版」と「修正と回避策」を改めた。
- 2026年10月20日：ASFのCVE-2026-101296の告知（出典18）を加え、「時系列」を改めた。
- 2026年10月25日：NVDのレコードの10月25日の更新（出典12）を加え、「時系列」と「悪用の状況」を改めた。