CVE-2025-66614 in Tomcat
Resumen
por MITRE • 2026-02-17
Vulnerabilidad de validación de entrada inadecuada.
Este problema afecta a Apache Tomcat: desde 11.0.0-M1 hasta 11.0.14, desde 10.1.0-M1 hasta 10.1.49, desde 9.0.0-M1 hasta 9.0.112.
Las siguientes versiones estaban al final de su vida útil (EOL) en el momento en que se creó el CVE, pero se sabe que están afectadas: 8.5.0 hasta 8.5.100. Las versiones EOL más antiguas no están afectadas.
Tomcat no validaba que el nombre de host proporcionado a través de la extensión SNI fuera el mismo que el nombre de host proporcionado en el campo de encabezado de host HTTP. Si Tomcat estaba configurado con más de un host virtual y la configuración TLS para uno de esos hosts no requería autenticación de certificado de cliente pero otro sí lo hacía, era posible para un cliente omitir la autenticación de certificado de cliente enviando diferentes nombres de host en la extensión SNI y el campo de encabezado de host HTTP.
La vulnerabilidad solo se aplica si la autenticación de certificado de cliente solo se impone en el Conector. No se aplica si la autenticación de certificado de cliente se impone en la aplicación web.
Se recomienda a los usuarios actualizar a la versión 11.0.15 o posterior, 10.1.50 o posterior o 9.0.113 o posterior, que solucionan el problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.