| Summary | Improper Handling of URL Encoding (Hex Encoding) vulnerability in Apache Tomcat's rewrite valve allowed security constraint bypass for some configurations. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.23, from 10.1.0-M1 through 10.1.56, from 9.0.0.M1 through 9.0.119, from 8.5.0 through 8.5.100. Other versions that have reached end of support may also be affected. Users are recommended to upgrade to version 11.0.24, 10.1.57 or 9.0.120, which fix the issue. |
|---|---|
| Publication Date | July 14, 2026, 6:16 p.m. |
| Registration Date | July 15, 2026, 4:18 a.m. |
| Last Update | July 15, 2026, 1:57 a.m. |
| CVSS3.1 : CRITICAL | |
| スコア | 9.1 |
|---|---|
| Vector | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| 攻撃元区分(AV) | ネットワーク |
| 攻撃条件の複雑さ(AC) | 低 |
| 攻撃に必要な特権レベル(PR) | 不要 |
| 利用者の関与(UI) | 不要 |
| 影響の想定範囲(S) | 変更なし |
| 機密性への影響(C) | 高 |
| 完全性への影響(I) | 高 |
| 可用性への影響(A) | なし |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 8.0.0 | ||||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 8.5.0 | 8.5.100 | |||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 9.0.0 | 9.0.119 | |||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 10.1.0 | 10.1.56 | |||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 11.0.0 | 11.0.23 | |||
| Title | Apache Software FoundationのApache TomcatにおけるURL エンコーディング（16進エンコーディング）の処理に関する脆弱性 |
|---|---|
| Summary | Apache TomcatのリライトバルブにおけるURLエンコーディング（16進エンコーディング）の不適切な処理により、一部の構成でセキュリティ制約をバイパスできる脆弱性が存在しました。この問題は、Apache Tomcatのバージョン11.0.0-M1から11.0.23まで、10.1.0-M1から10.1.56まで、9.0.0-M1から9.0.119まで、8.5.0から8.5.100までに影響します。サポート終了済みのその他のバージョンにも影響がある可能性があります。ユーザーはこの問題を修正したバージョン11.0.24、10.1.57、または9.0.120にアップグレードすることを推奨します。 |
| Possible impacts | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | July 14, 2026, midnight |
| Registration Date | July 16, 2026, 12:37 p.m. |
| Last Update | July 16, 2026, 12:37 p.m. |
| Apache Software Foundation |
| Apache Tomcat 10.1.0 から 10.1.56 |
| Apache Tomcat 11.0.0 から 11.0.23 |
| Apache Tomcat 8.0.0 およびそれ以前 |
| Apache Tomcat 8.5.0 から 8.5.100 |
| Apache Tomcat 9.0.0 から 9.0.119 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年07月16日] 掲載 |
July 16, 2026, 12:37 p.m. |