BDU:2026-07147: Уязвимость сервера приложений Apache Tomcat, связанная с недостаточной защитой регистрационных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Детали уязвимости BDU:2026-07147
Описание
Уязвимость сервера приложений Apache Tomcat связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации
Что делать с BDU:2026-07147
Высокая уязвимость (CVSS 7.5) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NAV:N/AC:L/Au:N/C:C/I:N/A:NCWE — тип уязвимости
CVE — международный идентификатор
Тактики и техники
Уязвимое ПО (16)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Red Hat, Inc. | Red Hat Enterprise Linux | 7 | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 8 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 9 | Не указана |
| АО «ИВК» | АЛЬТ СП 10 | - | Не указана |
| Red Hat, Inc. | Jboss Web Server | 5 | Не указана |
| Red Hat, Inc. | Jboss Web Server | 6 | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 10 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 8.0 | Не указана |
| Apache Software Foundation | Tomcat | от 11.0.0-M1 до 11.0.20 включительно | Не указана |
| Apache Software Foundation | Tomcat | от 10.1.0-M1 до 10.1.53 включительно | Не указана |
| Apache Software Foundation | Tomcat | от 9.0.13 до 9.0.116 включительно | Не указана |
| Axiom JDK | Libercat Certified | до 10.1.57-1 | Не указана |
| Axiom JDK | Libercat EE Certified | до 8.0.16-39 | Не указана |
| Axiom JDK | Libercat Certified | до 9.0.120-1 | Не указана |
| Axiom JDK | Libercat EE Certified | до 9.1.3-23 | Не указана |
Среды функционирования (11)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Red Hat, Inc. | Red Hat Enterprise Linux | 7 | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 8 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 9 | Не указана |
| АО «ИВК» | АЛЬТ СП 10 | - | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 10 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 8.0 | Не указана |
| Axiom JDK | Libercat Certified | до 10.1.57-1 | Не указана |
| Axiom JDK | Libercat EE Certified | до 8.0.16-39 | Не указана |
| Axiom JDK | Libercat Certified | до 9.0.120-1 | Не указана |
| Axiom JDK | Libercat EE Certified | до 9.1.3-23 | Не указана |
Рекомендации по устранению
Использование рекомендаций производителя: https://lists.apache.org/thread/4xpkwolpkrj8v5xzp5nyovtlqp3y850h Для РедОС: https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-34487 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2026-34487 Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
SLA ФСТЭК №117
7 дней
по базовой оценке CVSS 7.5
Уточните SLA под вашу среду
Базовый балл 7.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать (повышенный)
Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2026-04-09
Опубликована
2026-05-22
Обновлена
2026-09-15
Эксплойт
Данные уточняются
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.
- Уязвимости → активы → ответственные — цепочка за минуту
- SLA-таймеры и эскалация — дедлайны не горят
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость компонента EncryptInterceptor сервера приложений Apache Tomcat, позволяющая нарушителю оказать воздействие на
Уязвимость компонента RewriteValve сервера приложений Apache Tomcat, позволяющая нарушителю обойти существующие механизм
Уязвимость демонстрационного приложения Number Guess сервера приложений Apache Tomcat, позволяющая нарушителю выполнить
Уязвимость сервера приложений Apache Tomcat, связанная с реализацией некорректного потока управления, позволяющая наруши
Уязвимость коннектора на базе FFM сервера приложений Apache Tomcat, позволяющая нарушителю вызвать отказ в обслуживании
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.