CVE-2025-66614 in Tomcat
Riassunto
di VulDB • 17/06/2026
Vulnerabilità di convalida impropria degli input.
Questo problema interessa Apache Tomcat: dalle versioni 11.0.0-M1 a 11.0.14, dalle versioni 10.1.0-M1 a 10.1.49, dalle versioni 9.0.0-M1 a 9.0.112.
Le seguenti versioni erano a fine vita (EOL) al momento della creazione della CVE, ma è noto che siano interessate: 8.5.0 attraverso 8.5.100. Le versioni EOL precedenti non sono interessate.
Tomcat non convalidava che il nome dell'host fornito tramite l'estensione SNI fosse lo stesso del nome dell'host fornito nel campo dell'intestazione HTTP Host. Se Tomcat era configurato con più di un virtual host e la configurazione TLS per uno di questi host non richiedeva l'autenticazione del certificato client, mentre un altro la richiedeva, era possibile per un client aggirare l'autenticazione del certificato client inviando nomi dell'host diversi nell'estensione SNI e nel campo dell'intestazione HTTP Host.
La vulnerabilità si applica solo se l'autenticazione del certificato client è applicata esclusivamente a livello di Connector. Non si applica se l'autenticazione del certificato client è applicata a livello di applicazione web.
Si consiglia agli utenti di effettuare l'aggiornamento alla versione 11.0.15 o successiva, 10.1.50 o successiva o 9.0.113 o successiva, che risolvono il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.