CVE-2026-29146Disclosure(apache / tomcat)

Fun story: #Apache patched a Tomcat padding oracle and shipped a worse bug doing it. #CVE-2026-29146: EncryptInterceptor defaults to AES/CBC/PKCS5, a padding oracle. No key needed, forge cluster messages on the Tribes receiver (TCP/4000, no peer auth) and you're a trusted node. > The patch moved super.messageReceived() out of the try. Then? Decrypt fails, Tomcat deserializes your bytes anyway: badab00m! That's CVE-2026-34486, pre-auth RCE! Patch to be safe, pwn for the lulz 😎 > Fix: 9.0.117 / 10.1.54 / 11.0.21. Or GCM/NoPadding and keep 4000 off untrusted wires. Whole story & details by @cyberkendra : https://www.cyberkendra.com/2026/04/apache-tomcats-security-fix-opened-door.html PoC from @striga_ai : http://github.com/striga-ai/CVE-2026-34486

🚨 CVE-2026-34486: Apache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptor EncryptInterceptor Bypass Enables Plaintext Credential Exfiltration A regression introduced in the fix for CVE-2026-29146 inadvertently disabled proper enforcement of the EncryptInterceptor, allowing sensitive session data (e.g., authentication tokens, credentials) to be transmitted unencrypted over insecure channels despite configuration intent. Full Vulnerability Details & Analysis at DarkEye: 🔗 https://darkeye.org/vuln/cve/CVE-2026-34486 🔍 Identify Targets via ZoomEye: Filter: vul.cve="CVE-2026-34486" Search Dork: app="Apache Tomcat" Exposure: 562.9k+ instances identified globally. ZoomEye Search Link: 👉 https://www.zoomeye.ai/searchResult?q=YXBwPSJBcGFjaGUgVG9tY2F0Ig==&utm_source=twitter&utm_medium=social&utm_campaign=cve_ops_20260414 #Tomcat #EncryptionBypass #CVE-2026-34486 #SessionSecurity #CryptoMisconfiguration #DarkEye

米国CISAが悪用を確認した脆弱性 #KEV をカタログに追加しました。（08/04追加） #vulnerability 🛡CVE-2026-9198 IBM Langflow Code Injection Vulnerability ✅概要 ・深刻度：緊急 9.8 (CVSS Base) / IBM Corporation (CNA) ・種別：コード・インジェクション (CWE-94) ・CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H IBM Langflow OSS 1.0.0 から 1.10.0 に存在するコードインジェクションの脆弱性です。 未認証の攻撃者が /api/v1/auto_login で SUPERUSER トークンを取得し、/api/v1/validate/code で任意コードを実行することで、既定構成の Langflow 環境でリモートコード実行に至る可能性があります。 ✅ChatGPTによる脆弱性評価 ・国内影響度：中 ・悪用難易度：低 ✅CISA 評価 ・攻撃自動化：自動化は可能 ・技術的影響：完全制御 ・BOD 26-04 対処期限（露出あり）：2026年8月7日 ・BOD 26-04 対処期限（露出なし）：2026年8月18日 ✅攻撃前提条件 ・IBM Langflow OSS 1.0.0 から 1.10.0 を使用している ・/api/v1/auto_login がネットワーク経由で到達可能である ・/api/v1/validate/code がネットワーク経由で到達可能である ・既定構成で auto-login 機能が有効である ・Langflow OSS 1.10.1 以降へ更新されていない ✅悪用時影響 ・未認証の攻撃者に SUPERUSER トークンを取得される可能性がある ・Langflow のコード検証機能を悪用される可能性がある ・対象ホスト上で任意の Python コードを実行される可能性がある ・APIキー、環境変数、外部連携先の認証情報を窃取される可能性がある ・Langflow 環境を起点に追加侵害へつなげられる可能性がある ✅悪用事例等に関する公開情報 ・PoC/Exploit：公開情報確認できず ・ITW：未確認 ✅関連情報 ・https://nvd.nist.gov/vuln/detail/CVE-2026-9198 ・https://www.ibm.com/support/pages/node/7278927 ・https://github.com/cisagov/vulnrichment/blob/develop/2026/9xxx/CVE-2026-9198.json ・https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-9198 ・https://jvndb.jvn.jp/ja/cwe/CWE-94.html 🛡CVE-2026-18556 N-able N-central Authentication Bypass Using an Alternate Path or Channel Vulnerability ✅概要 ・深刻度：重要 8.2 (CVSS Base) / N-able (CNA) ・種別：代替パスまたはチャネルを使用した認証回避 (CWE-288) ・CVSS:CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N N-able N-central に存在する、代替パスまたはチャネルを使用した認証回避の脆弱性です。 N-central 2026.1 までのバージョンが影響を受け、認証バイパスにつながる可能性があります。 ✅ChatGPTによる脆弱性評価 ・国内影響度：中 ・悪用難易度：中 ✅CISA 評価 ・攻撃自動化：自動化は可能 ・技術的影響：完全制御 ・BOD 26-04 対処期限（露出あり）：2026年8月7日 ・BOD 26-04 対処期限（露出なし）：2026年8月18日 ✅攻撃前提条件 ・N-able N-central 2026.1 以前を使用している ・攻撃者が N-central サーバーへネットワーク経由でアクセスできる ・攻撃者は認証情報を必要としない ・N-central 2026.3.1.7 以降へ更新されていない ・関連する修正済みホットフィックスが適用されていない ✅悪用時影響 ・認証をバイパスされる可能性がある ・N-central サーバーへの管理アクセス取得につながる可能性がある ・管理対象エンドポイントへ到達される可能性がある ・Take Control 機能などを悪用される可能性がある ・Cloudflare Tunnel などを用いた永続化に悪用される可能性がある ✅悪用事例等に関する公開情報 ・PoC/Exploit：公開情報確認できず ・ITW：確認済み（N-able） ・概要：N-able は、2026年7月31日に Adlumin MDR が顧客環境で不審な活動を検知し、N-central サーバーのゼロデイ悪用を確認したと公表。 ✅関連情報 ・https://nvd.nist.gov/vuln/detail/CVE-2026-18556 ・https://www.n-able.com/blog/n-central-security-update-august-4-2026 ・https://uptime.n-able.com/ ・https://github.com/cisagov/vulnrichment/blob/develop/2026/18xxx/CVE-2026-18556.json ・https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-18556 ・https://jvndb.jvn.jp/ja/cwe/CWE-288.html 🛡CVE-2026-34486 Apache Tomcat Missing Encryption of Sensitive Data Vulnerability ✅概要 ・深刻度：重要 7.5 (CVSS Base) / CISA-ADP ・種別：重要なデータの暗号化の欠如 (CWE-311) ・CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N Apache Tomcat の EncryptInterceptor に存在する、重要なデータの暗号化の欠如に関する脆弱性です。 CVE-2026-29146 の修正に起因して EncryptInterceptor のバイパスが可能となり、機密データが暗号化されない可能性があります。 ✅ChatGPTによる脆弱性評価 ・国内影響度：高 ・悪用難易度：低 ✅CISA 評価 ・攻撃自動化：自動化は可能 ・技術的影響：部分的 ・BOD 26-04 対処期限（露出あり）：2026年8月7日 ・BOD 26-04 対処期限（露出なし）：2026年8月18日 ✅攻撃前提条件 ・Apache Tomcat 11.0.20、10.1.53、または 9.0.116 を使用している ・Tomcat クラスタリング等で EncryptInterceptor を使用している ・攻撃者が EncryptInterceptor により保護される通信経路へ影響を及ぼせる ・Apache Tomcat 11.0.21、10.1.54、または 9.0.117 以降へ更新されていない ・CVE-2026-29146 の修正を含む影響バージョンを利用している ✅悪用時影響 ・EncryptInterceptor による暗号化をバイパスされる可能性がある ・本来暗号化されるべきデータが平文で扱われる可能性がある ・Tomcat クラスタ間通信などで機密データが漏えいする可能性がある ・機密性に高い影響が生じる可能性がある ✅悪用事例等に関する公開情報 ・PoC/Exploit：公開情報確認できず ・ITW：確認済み（SOCRadar） ✅関連情報 ・https://nvd.nist.gov/vuln/detail/CVE-2026-34486 ・https://tomcat.apache.org/security-11.html ・https://tomcat.apache.org/security-10.html ・https://tomcat.apache.org/security-9.html ・https://lists.apache.org/thread/9510k5p5zdvt9pkkgtyp85mvwxo2qrly ・https://github.com/cisagov/vulnrichment/blob/develop/2026/34xxx/CVE-2026-34486.json ・https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-34486 ・https://socradar.io/blog/snowlight-government-chinese-campaign/ ・https://jvndb.jvn.jp/ja/cwe/CWE-311.html ・https://www.cisa.gov/news-events/alerts/2026/08/04/cisa-adds-three-known-exploited-vulnerabilities-catalog #vulnerability

EncryptInterceptor fail-open bypass in Apache Tomcat Tribes clustering leading to unauthenticated RCE via Java deserialization CVE: CVE-2026-34486 PT ID: PT-2026-31712 Vendor: Apache Software Foundation Product: Apache Tomcat CVSS: n/a Credits: Bartlomiej Dmitruk, http://striga.ai Description: Missing Encryption of Sensitive Data vulnerability in Apache Tomcat due to the fix for CVE-2026-29146 allowing the bypass of the EncryptInterceptor. This issue affects Apache Tomcat: 11.0.20, 10.1.53, 9.0.116. Users are recommended to upgrade to version 11.0.21, 10.1.54 or 9.0.117, which fix the issue. References: • https://dbugs.ptsecurity.com/vulnerability/CVE-2026-34486 • https://lists.apache.org/thread/9510k5p5zdvt9pkkgtyp85mvwxo2qrly PoC/Exploit: https://github.com/striga-ai/CVE-2026-34486 #dbugs_vuln

CISA KEV 警告 26/08/04：Apache Tomcat の脆弱性 CVE-2026-34486 を登録 https://iototsecnews.jp/2026/08/04/cisa-warns-of-apache-tomcat-encryption-vulnerability-actively-exploited-in-attacks/ Apache Tomcat の深刻な脆弱性が、CISA KEV カタログに追加されました。Web アプリケーションの実行環境として広く用いられている Apache Tomcat において、通信の保護を妨害される深刻な不具合が確認されました。過去の修正漏れが原因で EncryptInterceptor が正常に機能せず、クラスタ環境内の暗号化メッセージを巧妙に偽装したデータが通過してしまいます。この問題により機密情報が流出し、第三者によるシステムへの侵入や悪意のあるプログラムの実行につながる危険性があります。脆弱性 CVE-2026-34486 (過去の CVE-2026-29146 に関連) への対応策として、修正プログラムが適用された最新版への速やかな更新が必要です。ご利用のチームは、ご注意ください。 #ApacheTomcat #CVE202634486 #CISA #KEV #Vulnerability #Exploit #OpenSource

Apache Tomcat allowed bypass of EncryptInterceptor (CVE-2026-29146) https://www.systemtek.co.uk/2026/08/apache-tomcat-allowed-bypass-of-encryptinterceptor-cve-2026-29146/ via @SystemTek_UK

Apache Tomcat CVE-2026-29146 Vulnerability Analysis-- @OligoSecurity https://getaigovernance.net/blog/apache-tomcat-cve-2026-29146-vulnerability-analysis

Apache Tomcat の脆弱性 CVE-2026-29146／34486／34500 が FIX：EncryptInterceptor バイパスの可能性 https://iototsecnews.jp/2026/04/13/apache-tomcat-flaws-enable-encryptinterceptor-bypass/ これらの Apache Tomcat の脆弱性は、暗号化の仕組みや修正時の不備が主な原因となっています。 CVE-2026-29146 では、暗号化モードの特性により外部から通信内容を推測される状態にありました。これを直そうとした際のコードの不備が CVE-2026-34486 という新たな問題を生み、セキュリティ機能自体が回避される結果を招いています。また CVE-2026-34500 では、証明書の失効を確認する際の処理が設定通りに動かず、本来拒否すべきアクセスを許可してしまう不備が発生しました。ご利用のチームは、ご注意ください。 #Apache #CVE202629146 #CVE202634486 #CVE202634500 #Tomcat #Vulnerability

⚠️ Vulnerabilidades en productos Apache ❗ CVE-2026-34486 ❗ CVE-2026-29146 ➡️ Más info: https://www.cert.gov.py/vulnerabilidades-en-productos-apache-4/ https://t.co/qX4o1jGZll

Tomcat's own patch didn't close the hole. CVE-2026-34486 (CVSS 7.5) bypasses EncryptInterceptor because the fix for CVE-2026-29146 was incomplete. Real fix shipped in April. CISA's KEV Aug 4, FCEB deadline today. Two unrelated threat actors already exploited it. Verifying fixes, or just applying them? https://thehackernews.com/2026/08/cisa-flags-langflow-rce-tomcat-and-n.html

CVE-2026-29146 Padding Oracle vulnerability in Apache Tomcat's EncryptInterceptor with default configuration. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.18, from… https://www.cve.org/CVERecord?id=CVE-2026-29146

CVE-2026-34486 Missing Encryption of Sensitive Data vulnerability in Apache Tomcat due to the fix for CVE-2026-29146 allowing the bypass of the EncryptInterceptor. This issue affec… https://www.cve.org/CVERecord?id=CVE-2026-34486