Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-74048 Fallo de FIPS en OpenSSL-FFM no impide el arranque en Apache Tomcat

Vulnerabilidad de fallo inseguro ('failing open') en Apache Tomcat: si OpenSSLLifecycleListener está configurado para usar modo FIPS pero la activación de FIPS falla, Tomcat registra un error pero continúa usando JSSE en modo no FIPS con la configuración provista. Afecta a Apache Tomcat desde 11.0.0-M14 hasta 11.0.26, desde 10.1.22 hasta 10.1.60 y desde 9.0.92 hasta 9.0.122. Se recomienda actualizar a 11.0.27, 10.1.61 o 9.0.123.

Alerta de Nureq Monitor

Detectada 20 OCT · 12:00

CVSS 3.1 · PRELIMINAR

—S/D

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,2 % PERCENTIL 14

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-74048

Vulnerabilidad de fallo inseguro ('failing open') en Apache Tomcat: si OpenSSLLifecycleListener está configurado para usar modo FIPS pero la activación de FIPS falla, Tomcat registra un error pero continúa usando JSSE en modo no FIPS con la configuración provista. Afecta a Apache Tomcat desde 11.0.0-M14 hasta 11.0.26, desde 10.1.22 hasta 10.1.60 y desde 9.0.92 hasta 9.0.122. Se recomienda actualizar a 11.0.27, 10.1.61 o 9.0.123.

Productos y versiones afectadas

  • Apache Software Foundation Apache Tomcat

    • desde 11.0.0-M14 hasta 11.0.26
    • desde 10.1.22 hasta 10.1.60
    • desde 9.0.92 hasta 9.0.122

Qué hacer

  1. Verificá si usás Apache Tomcat y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Abrir la calculadora completa

Descripción original

Not Failing Securely ('Failing Open') vulnerability in Apache Tomcat. If the OpenSSLLifecycleListener is configured to use FIPS mode but FIPS activation fails, Tomcat logs and error but continues to use JSSE in non-FIPS mode with the provided configuration. This issue affects Apache Tomcat: from 11.0.0-M14 through 11.0.26, from 10.1.22 through 10.1.60, from 9.0.92 through 9.0.122. Users are recommended to upgrade to version 11.0.27, 10.1.61 or 9.0.123, which fix the issue.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.